Как критичната уязвимост Citrix NetScaler CVE-2019-19781 разкри скрити проблеми в IT индустрията

Уважаеми читателю, на първо място бих искал да отбележа, че като жител на Германия, основно описвам ситуацията в тази страна. Вероятно в твоята страна ситуацията е коренно различна.

На 17 декември 2019 г. на страницата на Citrix Knowledge Center беше публикувана информация за критична уязвимост в продуктите Citrix Application Delivery Controller (NetScaler ADC) и Citrix Gateway, известни в обществото като NetScaler Gateway. По-късно уязвимостта беше открита и в линията SD-WAN. Уязвимостта засягаше всички версии на продуктите, започвайки от 10.5 и завършвайки с актуалната версия 13.0, и позволяваше на неупълномощен злоумесник да изпълнява злонамерен код в системата, практически превръщайки NetScaler в платформа за последващи атаки на вътрешната мрежа.

• CTX267027: CVE-2019-19781 — Уязвимост в Citrix Application Delivery Controller
• CTX267679: Стъпки за ограничаване на риска при CVE-2019-19781
• CTX269180: CVE-2019-19781 – Инструмент за проверка (Публикувано на 15.01.2020!)

В същото време с публикацията на информацията за уязвимостта, Citrix публикува и препоръки за намаляване на риска (Workaround). Пълното закриване на уязвимостта беше обещано едва към края на януари 2020 г.

Критичността на тази уязвимост (номер CVE-2019-19781) беше оценена на 9.8 точки от 10. Според информацията на компания Positive Technologies уязвимостта засяга над 80 000 компании по целия свят.

Възможна реакция на новината

Бейки отговорен човек, смятах, че всички ИТ специалисти, които имат продукти NetScaler в своята инфраструктура, биха постъпили по следния начин:

1. незабавно имплементираха всички указания в статията CTX267679 за минимизиране на риска.
2. провериха настройките на Firewall, относно разрешения трафик от NetScaler към вътрешната мрежа.
3. поръчаха на администраторите по ИТ сигурност да обърнат внимание на "необичайни" опити за достъп до NetScaler и при необходимост да ги блокират. Напомням, че NetScaler обикновено се намира в DMZ.
4. оцениха възможността временно да изключат NetScaler от мрежата, докато получат по-подробна информация за проблема. По време на празниците, каникулите и т.н. това не би било толкова болезнено. Освен това, много компании имат алтернативна възможност за достъп чрез VPN.

Какво се случи по-нататък?

За съжаление, както ще се установи по-късно, описаните стъпки, които представляват стандартен подход, бяха игнорирани от повечето.

Много от специалистите, отговорни за инфраструктурата на Citrix, научиха за уязвимостта едва на 13.01.2020 от централните новини. Научиха тогава, когато огромно количество свързани с тях системи бяха компрометирани. Абсурдността на ситуацията достигна до там, че необходимите за това експлойти могат напълно легално да се свалят от интернет.
По някаква причина предполагах, че IT специалистите четат бюлетините от производителите на поверените им системи, умеят да ползват Twitter, подписани са на водещи специалисти в областта си и трябва да бъдат информирани относно актуалните събития.

Фактически, в продължение на повече от три седмици, многобройни клиенти на Citrix напълно игнорираха препоръките на производителя. А клиентите на Citrix са практически всички крупни и средни компании в Германия, както и почти всички държавни учреждения. Най-вече уязвимостта засегна именно държавните структури.

Но поне има с какво да се занимават

Тези, чиито системи бяха компрометирани, нуждаят се от пълна преинсталация, включително подмяна на TSL сертификатите. Вероятно, клиентите на Citrix, които очакваха от производителя по-активни действия за отстраняване на критичната уязвимост, сериозно ще започнат да търсят алтернатива. Трябва да призная, че реакцията на Citrix не вдъхва оптимизъм.

Въпросите са повече от отговорите

Възниква въпросът, какво правеха многобройните партньори на Citrix, платинени и златни? Защо едва на третата седмица на 2020 година на страниците на някои партньори на Citrix се появи необходимата информация? Очевидно е, че и скъпоплатените външни консултанти също проспаха тази опасна ситуация. Не искам да обиждам никого, но задачата на партньора е предимно да предотвратява възникващите проблеми, а не да предлага = продава помощ за тяхното решаване.

Фактически, тази ситуация показа реалното положение в областта на IT сигурността. Както на служителите от IT отделите в компаниите, така и на консултантите от фирмите партньори на Citrix, трябва да стане ясна една истина, ако има уязвимост, тя трябва да бъде отстранена. А критичната уязвимост трябва да се отстранява незабавно!

Източник: habr.com