Lieber Leser, zunächst möchte ich darauf hinweisen, dass ich als Bewohner Deutschlands die Situation in diesem Land beschreibe. Möglicherweise ist die Situation in Ihrem Land grundlegend anders.
Am 17. Dezember 2019 wurde auf der Seite des Citrix Knowledge Center Informationen über eine kritische Schwachstelle in den Produktlinien Citrix Application Delivery Controller (NetScaler ADC) und Citrix Gateway, allgemein bekannt als NetScaler Gateway, veröffentlicht. Später wurde die Schwachstelle auch in der SD-WAN-Linie entdeckt. Sie betraf alle Produktversionen, beginnend mit 10.5 bis zur aktuellen Version 13.0, und ermöglichte es einem unbefugten Angreifer, schädlichen Code im System auszuführen, wodurch NetScaler praktisch zu einer Plattform für weitere Angriffe auf das interne Netzwerk wurde.
Zeitgleich mit der Veröffentlichung der Informationen über die Schwachstelle veröffentlichte Citrix Empfehlungen zur Risikominderung (Workaround). Eine vollständige Behebung der Schwachstelle wurde erst bis Ende Januar 2020 versprochen.
Die Kritikalität dieser Schwachstelle (CVE-2019-19781) wurde . Laut betrifft die Schwachstelle über 80.000 Unternehmen weltweit.
Mögliche Reaktion auf die Nachricht
Als verantwortungsvolle Person nahm ich an, dass alle IT-Spezialisten, die NetScaler-Produkte in ihrer Infrastruktur haben, wie folgt reagiert haben:
- sofort alle in dem Artikel CTX267679 genannten Empfehlungen zur Risikominderung umgesetzt.
- die Firewall-Einstellungen bezüglich des erlaubten Traffics von NetScaler in Richtung des internen Netzwerks überprüft haben.
- den IT-Sicherheitsadministratoren empfohlen haben, auf "ungewöhnliche" Zugriffsversuche auf NetScaler zu achten und diese gegebenenfalls zu blockieren. Ich erinnere daran, dass NetScaler normalerweise in der DMZ platziert ist.
- die Möglichkeit eines vorübergehenden Ausschlusses von NetScaler aus dem Netzwerk bis zur Erhalt genauerer Informationen über das Problem bewertet haben. Während der vorweihnachtlichen Urlaubszeit wäre dies nicht so schmerzhaft gewesen. Zudem haben viele Firmen die Möglichkeit eines alternativen Zugriffs über VPN.
Was geschah dann?
Leider wurden, wie sich später herausstellen sollte, die oben beschriebenen Schritte, die als Standardansatz gelten, von den meisten ignoriert.
Viele Spezialisten, die für die Citrix-Infrastruktur verantwortlich sind, erfuhren erst am 13.01.2020 von der Schwachstelle. . Sie erfuhren es zu einem Zeitpunkt, als eine enorme Anzahl ihrer betroffenen Systeme kompromittiert war. Die Absurdität der Situation war so weit fortgeschritten, dass die dafür notwendigen Exploits durchaus .
Ich dachte immer, dass IT-Spezialisten die Newsletter von den Herstellern ihrer Systeme lesen, Twitter nutzen, den führenden Experten ihrer Branche folgen und verpflichtet sind, über aktuelle Ereignisse informiert zu sein.
Tatsächlich ignorierten zahlreiche Citrix-Kunden über einen Zeitraum von mehr als drei Wochen die Empfehlungen des Herstellers vollständig. Zu den Kunden von Citrix gehören praktisch alle großen und mittelständischen Unternehmen Deutschlands sowie fast alle staatlichen Einrichtungen. Besonders betroffen war insbesondere der öffentliche Sektor.
Aber es gibt viel zu tun.
Diejenigen, deren Systeme kompromittiert wurden, müssen diese vollständig neu installieren, einschließlich des Austauschs der TSL-Zertifikate. Möglicherweise werden diejenigen Citrix-Kunden, die von dem Hersteller aktivere Maßnahmen zur Behebung der kritischen Schwachstelle erwarteten, ernsthaft nach Alternativen suchen. Es ist zuzugeben, dass die Reaktion von Citrix nicht optimistisch stimmt.
Es gibt mehr Fragen als Antworten.
Die Frage stellt sich, was die zahlreichen Partner von Citrix, die Platin- und Gold-Partner sind, getan haben. Warum erschien erst in der 3. Woche des Jahres 2020 auf den Seiten einiger Citrix-Partner die erforderliche Information? Es ist offensichtlich, dass auch die hochbezahlten externen Berater diese gefährliche Situation verschlafen haben. Ich möchte niemanden beleidigen, aber die Aufgabe eines Partners besteht in erster Linie darin, entstehende Probleme zu verhindern und nicht Hilfe beim Beheben anzubieten = zu verkaufen.
Tatsächlich hat diese Situation den tatsächlichen Zustand der IT-Sicherheit aufgezeigt. Sowohl die Mitarbeiter von IT-Abteilungen als auch die Berater von Citrix-Partnern sollten sich eine Wahrheit klar machen: Wenn es eine Schwachstelle gibt, muss sie behoben werden. Und eine kritische Schwachstelle muss umgehend behoben werden!
Quelle: habr.com
