Kære læser, først og fremmest vil jeg gerne pointere, at jeg som bosiddende i Tyskland beskriver situationen i dette land. Måske er situationen radikalt anderledes i dit land.
Den 17. december 2019 blev der offentliggjort oplysninger på Citrix Knowledge Center om en kritisk sårbarhed i produktlinjerne Citrix Application Delivery Controller (NetScaler ADC) og Citrix Gateway, kendt af folk som NetScaler Gateway. Sårbarheden blev senere også fundet i SD-WAN-linjen. Sårbarheden påvirkede alle versioner af produkterne fra 10.5 til den aktuelle 13.0 og tillod en uautoriseret angriber at udføre skadelig kode i systemet, hvilket praktisk talt omdannede NetScaler til en platform for videre angreb på det interne netværk.
Samtidigt med offentliggørelsen af oplysningerne om sårbarheden offentliggjorde Citrix anbefalinger til reduktion af risikoen (Workaround). Den fulde lukning af sårbarheden blev lovet først ved udgangen af januar 2020.
Kritikaliteten af denne sårbarhed (CVE-2019-19781) blev . Ifølge berører sårbarheden mere end 80.000 virksomheder verden over.
Mulig reaktion på nyheden
Som en ansvarlig person troede jeg, at alle IT-specialister med NetScaler-produkter i deres infrastruktur ville handle som følger:
- hurtigt implementere alle de anbefalinger nævnt i artiklen CTX267679 for at mindske risikoen.
- genkontrollere Firewall-indstillingerne med henblik på tilladt trafik fra NetScaler til det interne netværk.
- anbefale IT-sikkerhedsadministratorer at være opmærksomme på "usædvanlige" forsøg på adgang til NetScaler og, hvis nødvendigt, blokere dem. Jeg minder om, at NetScaler normalt ligger i DMZ.
- vurdere muligheden for midlertidigt at frakoble NetScaler fra netværket, indtil der er mere detaljerede oplysninger om problemet. I løbet af førjulens ferie, helligdage osv. ville det ikke være så smertefuldt. Derudover har mange virksomheder en alternativ adgang gennem VPN.
Hvad skete der så derefter?
Desværre viser det sig senere, at de ovenfor beskrevne skridt, som er en standard tilgang, blev ignoreret af de fleste.
Mange af de ansvarlige for Citrix-infrastrukturen blev først opmærksomme på sårbarheden den 13.01.2020. . De fandt først ud af det, da et stort antal systemer under deres ansvar var blevet kompromitteret. Absurditeten i situationen var sådan, at de nødvendige exploits kunne downloades ganske .
Jeg troede af en eller anden grund, at IT-specialister læser nyhedsbreve fra producenterne af de systemer, de er ansvarlige for, kan bruge Twitter, er tilmeldt førende specialister inden for deres område og skal være opdateret om aktuelle begivenheder.
Faktisk ignorerede mange Citrix-kunder fuldstændigt producentens anbefalinger i over tre uger. Og kunderne hos Citrix omfatter stort set alle store og mellemstore virksomheder i Tyskland samt næsten alle statslige institutioner. Først og fremmest berørte sårbarheden netop de offentlige strukturer.
Men der er noget at tage sig til.
For dem hvis systemer blev kompromitteret er en total geninstallation nødvendig, inklusive udskiftning af TSL-certifikater. Det er muligt, at de Citrix-kunder, som havde forventet mere aktive handlinger fra producenten vedrørende afhjælpning af den kritiske sårbarhed, seriøst vil begynde at lede efter alternativer. Man må erkende, at Citrix' reaktion ikke giver grund til optimism.
Der er flere spørgsmål end svar.
Der opstår et spørgsmål: hvad har de mange partnere til Citrix, både platin- og guldpartnere, lavet? Hvorfor kom de nødvendige informationer først frem på nogle partneres sider i den 3. uge af 2020? Det er åbenlyst, at selv de højt betalte eksterne konsulenter også sov i denne farlige situation. Jeg ønsker ikke at såre nogen, men partnerens opgave ligger i første omgang i at forebygge problemer, ikke blot at tilbyde = sælge hjælp til at løse dem.
Faktisk har denne situation vist det reelle status quo inden for IT-sikkerhed. Både ansatte i IT-afdelingerne i virksomheder og konsulenter fra Citrix-partnere bør forstå en sandhed: hvis der er en sårbarhed, skal den rettes. Og en kritisk sårbarhed skal rettes straks!
Kilde: habr.com
