Как критичната уязвимост Citrix NetScaler CVE-2019-19781 разкри скрити проблеми в IT индустрията

Скъпи читателю, преди всичко искам да посоча, че като жител на Германия, основно описвам ситуацията в тази страна. Възможно е вашата страна да има коренно различна ситуация.

На 17 декември 2019 година на страницата на Citrix Knowledge Center беше публикувана информация за критична уязвимост в продуктовите линии на Citrix Application Delivery Controller (NetScaler ADC) и Citrix Gateway, известен в народа като NetScaler Gateway. По-нататък уязвимостта беше открита и в линията SD-WAN. Тази уязвимост засяга всички версии на продуктите, започвайки от 10.5 до актуалната 13.0 и позволяваше на неупълномощен нападател да изпълнява злонамерен код в системата, практически превръщайки NetScaler в платформа за последващи атаки върху вътрешната мрежа.

• CTX267027: CVE-2019-19781 — Уязвимост в Citrix Application Delivery Controller
• CTX267679: Стъпки за смекчаване на CVE-2019-19781
• CTX269180: CVE-2019-19781 – Инструмент за верификация (Публикувано на 15.01.2020!)

Веднага с публикуването на информацията за уязвимостта, Citrix издаде препоръки за намаляване на риска (Workaround). Пълното закриване на уязвимостта беше обещано едва до края на януари 2020 година.

Критичността на тази уязвимост (номер CVE-2019-19781) беше оценена на 9.8 от 10. Според информация от компанията Positive Technologies, уязвимостта засяга над 80 000 компании по целия свят.

Възможна реакция на новината

Като отговорен човек, смятах, че всички IT специалисти, които имат продукти NetScaler в своята инфраструктура, предприемат следните стъпки:

1. незабавно внедриха всичките указания в статията CTX267679 за минимизиране на риска.
2. препровериха настройките на Firewall, относно разрешения трафик от NetScaler към вътрешната мрежа.
3. препоръчаха на администраторите по IT сигурност да обърнат внимание на „необичайни“ опити за достъп до NetScaler и, ако е необходимо, да ги блокират. Напомням, NetScaler обикновено се намира в DMZ.
4. оцениха възможността за временно изключване на NetScaler от мрежата, докато получат по-подробна информация за проблема. По време на предколедните отпуски, ваканции и т.н. това би било по-малко болезнено. Освен това, много фирми имат алтернативен достъп чрез VPN.

Какво се случи по-нататък?

За съжаление, както ще излезе наяве по-късно, описаните по-горе стъпки, които са стандартен подход, бяха игнорирани от мнозина.

Много специалисти, отговорни за Citrix инфраструктура, научиха за уязвимостта само на 13.01.2020 от централните новини. Научиха тогава, когато огромно количество системи под тяхна отговорност бяха компрометирани. Абсурдността на ситуацията стигна до там, че необходимите за това експлойти можеше напълно легално да бъдат свалени от интернет.
По някаква причина вярвах, че ИТ специалистите четат бюлетините от производителите на системите, за които отговарят, умеят да ползват Twitter, подписани са на водещи специалисти в своята област и трябва да бъдат в течение на актуалните събития.

Всъщност, в продължение на повече от три седмици, многобройни клиенти на Citrix напълно игнорираха препоръките на производителя. А клиентите на Citrix са практически всички големи и средни компании в Германия, както и почти всички държавни учреждения. Първоначално уязвимостта засегна именно държавните структури.

Затова има с какво да се занимаваме

Темите, чиито системи бяха компрометирани, имат нужда от пълна преинсталация, включително замяна на TSL сертификатите. Възможно е клиентите на Citrix, които се надяваха на по-активни действия от производителите за отстраняване на критичната уязвимост, сериозно да помислят за намиране на алтернатива. Трябва да призная, че реакцията на Citrix не вдъхва оптимизъм.

Въпросите са повече от отговорите

Възниква въпросът, какво правиха многобройните партньори на Citrix, платинени и златни? Защо едва на третата седмица на 2020 година на страниците на някои партньори на Citrix се появи необходимата информация? Очевидно е, че и високоплатените външни консултанти също пропуснаха тази опасна ситуация. Не искам да обидя никого, но задачата на партньора е преди всичко да предотвратява възникващите проблеми, а не да предлага = продава помощ за тяхното отстраняване.

Всъщност, тази ситуация показа реалното положение в областта на ИТ сигурността. Както служителите на ИТ отделите на компаниите, така и консултантите на партньорските фирми на Citrix, трябва да разберат една истина, ако има уязвимост, тя трябва да бъде отстранена. А критичната уязвимост трябва да се отстрани незабавно!

Източник: habr.com