Drahý čtenáři, především bych chtěl zdůraznit, že jakožto obyvatel Německa popisuji situaci v této zemi. Možná je situace ve vaší zemi zásadně odlišná.
Dne 17. prosince 2019 byla na stránkách Citrix Knowledge Center zveřejněna informace o kritické zranitelnosti v produktových řadách Citrix Application Delivery Controller (NetScaler ADC) a Citrix Gateway, známého široké veřejnosti jako NetScaler Gateway. Zranitelnost byla následně nalezena také v řadě SD-WAN. Zranitelnost se týkala všech verzí produktů, od 10.5 až po aktuální 13.0, a umožnila neautorizovanému útočníkovi vykonávat škodlivý kód v systému, prakticky proměňující NetScaler na platformu pro další útoky na vnitřní síť.
Současně s publikováním informací o zranitelnosti Citrix zveřejnil doporučení pro snížení rizika (Workaround). Kompletní uzavření zranitelnosti slíbili až do konce ledna 2020.
Kritičnost této zranitelnosti (číslo CVE-2019-19781) byla . Podle zranitelnost se týká více než 80 000 firem po celém světě.
Možná reakce na zprávu
Jako zodpovědný člověk jsem si myslel, že všichni IT specialisté, kteří mají ve své infrastruktuře produkty NetScaler, postupovali následujícím způsobem:
- okamžitě implementovali všechna doporučení uvedená v článku CTX267679 pro minimalizaci rizika.
- znovu zkontrolovali nastavení firewallu týkající se povoleného provozu z NetScaler směrem do vnitřní sítě.
- doporučili IT bezpečnostním správcům zaměřit se na "neobvyklé" pokusy o přístup k NetScaler a případně je zablokovat. Připomínám, že NetScaler se obvykle nachází v DMZ.
- zvážili možnost dočasného odpojení NetScaleru od sítě, dokud nedostanou podrobnější informace o problému. Během předvánočních dovolených a prázdnin by to nebylo tolik bolestné. Navíc má mnoho firem alternativní přístup přes VPN.
Co se stalo dál?
Bohužel, jak se později ukáže, výše popsané kroky, které jsou standardním přístupem, byly většinou ignorovány.
Mnozí odborníci zodpovědní za infrastrukturu Citrix se o zranitelnosti dozvěděli až 13.01.2020 . Dozvěděli se to právě tehdy, když obrovské množství systémů, které měly na starosti, bylo kompromitováno. Absurdnost situace dosahovala až toho, že potřebné exploity bylo možné zcela .
Nějak jsem si myslel, že IT specialisté čtou zasílání od výrobců, jejichž systémy mají na starosti, umějí používat Twitter, sledují přední odborníky ve svém oboru a musí být informováni o aktuálních událostech.
Skutečně, během více než tří týdnů, mnozí klienti Citrix zcela ignorovali doporučení výrobce. A klienty Citrix jsou prakticky všechny velké a střední společnosti v Německu, stejně jako téměř všechna státní zařízení. Zejména se zranitelnost dotkla právě státních struktur.
Naštěstí je co dělat
Těm, jejichž systémy byly kompromitovány, je třeba provést úplnou reinstalaci, včetně výměny TSL certifikátů. Možná, že ti klienti Citrix, kteří od výrobce očekávali aktivnější kroky k odstranění kritické zranitelnosti, vážně uvažují o hledání alternativy. Je nutné přiznat, že reakce Citrix nevyvolává optimismus.
Otázek je více než odpovědí
Vyvstává otázka, co dělali mnozí partneři firmy Citrix, platinoví a zlatí? Proč se až ve třetím týdnu roku 2020 na stránkách některých partnerů firmy Citrix objevily potřebné informace? Je zřejmé, že i vysoce placení externí konzultanti tuto nebezpečnou situaci také přehlédli. Nechci nikoho urazit, ale úkolem partnera je především předcházet vznikajícím problémům, a ne nabízet – prodávat pomoc při jejich odstraňování.
Tato situace skutečně ukázala reálný stav věcí v oblasti IT bezpečnosti. Jak zaměstnancům IT oddělení společností, tak i konzultantům firem partnerů Citrix by mělo být jasné, že pokud existuje zranitelnost, je nutné ji odstranit. A kritickou zranitelnost je třeba odstraňovat neprodleně!
Zdroj: habr.com
