Irakurle agurgarria, lehenik eta behin adierazi nahi nuke Alemaniako bizilagun gisa, batez ere herrialde honetako egoera deskribatzen ari naizela. Beharbada zure herrialdeko egoera zeharo ezberdina da.
17ko abenduaren 2019an, Citrix Knowledge Center orrian informazioa argitaratu zen Citrix Application Delivery Controller (NetScaler ADC) eta Citrix Gateway produktu-lerroen ahultasun larri bati buruzkoa, NetScaler Gateway izenez ezagutzen dena. Geroago, SD-WAN linean ere ahultasun bat aurkitu zen. Zaurgarritasunak produktuaren 10.5etik egungo 13.0ra arteko bertsio guztietan eragin zuen eta baimenik gabeko erasotzaile bati kode gaiztoa exekutatu ahal izan zuen sisteman, NetScaler ia barne sarean eraso gehiago egiteko plataforma bihurtuz.
Ahultasunari buruzko informazioa argitaratzearekin batera, Citrix-ek arriskua murrizteko gomendioak argitaratu zituen (Workaround). Ahultasuna erabat ixtea 2020ko urtarrilaren amaierarako bakarrik agindu zen.
Ahultasun honen larritasuna (CVE-2019-19781 zenbakia) zen . Arabera Zaurgarritasunak mundu osoko 80 enpresa baino gehiagori eragiten die.
Albistearen aurrean erreakzio posiblea
Pertsona arduratsu gisa, bere azpiegituran NetScaler produktuak dituzten IT profesional guztiek honako hau egin zutela suposatu nuen:
- berehala ezarri zituen CTX267679 artikuluan zehaztutako arriskua gutxitzeko gomendio guztiak.
- Suebakiaren ezarpenak berriro egiaztatu ditu NetScaler-ek barne sarerako baimendutako trafikoari dagokionez.
- Segurtasun informatikoko administratzaileei NetScaler atzitzeko saiaker βezohikoeiβ arreta jartzea gomendatu die eta, behar izanez gero, blokeatzea. Gogorarazten dizut NetScaler normalean DMZn kokatuta dagoela.
- NetScaler saretik aldi baterako deskonektatzeko aukera ebaluatu du arazoari buruzko informazio zehatzagoa lortu arte. Gabon aurreko oporretan, oporretan, etab., hau ez litzateke hain mingarria izango. Horrez gain, enpresa askok VPN bidez sarbide aukera alternatibo bat dute.
Zer gertatu zen gero?
Zoritxarrez, geroago argi geratuko denez, gehienek ez zuten aintzat hartu aurreko urratsak, hau da, ikuspegi estandarra.
Citrix azpiegituraz arduratzen diren espezialista askok 13.01.2020ko urtarrilaren XNUMXan bakarrik ezagutu zuten ahultasuna. . Haien ardurapeko sistema ugari arriskuan jarri zirenean jakin zuten. Egoeraren zentzugabekeria, horretarako beharrezkoak diren balentriak guztiz izatera iritsi zen .
Arrazoiren bategatik, uste nuen informatikako espezialistek fabrikatzaileen mezuak irakurtzen dituztela, haien esku utzitako sistemak, badakitela Twitter erabiltzen, beren arloko aditu garrantzitsuenetara harpidetzen direla eta behartuta daudela aktualitatearen berri izateko.
Izan ere, hiru aste baino gehiagoz, Citrix-eko bezero askok erabat baztertu zituzten fabrikatzailearen gomendioak. Eta Citrix-en bezeroen artean daude Alemaniako enpresa handi eta ertain ia guztiak, baita gobernu-agentzia ia guztiak ere. Lehenik eta behin, ahultasunak gobernu-egiturei eragin zien.
Baina badago zer egin
Sistemak arriskuan jarri dituztenek berriro instalatu behar dute, TSL ziurtagiriak ordezkatzea barne. Beharbada, fabrikatzaileak ahultasun kritikoa kentzeko ekintza aktiboagoak egitea espero zuten Citrix-eko bezeroek alternatiba serio bilatuko dute. Onartu behar dugu Citrixen erantzuna ez dela pozgarria.
Erantzunak baino galdera gehiago daude
Galdera sortzen da, zertan ari ziren Citrix, platinoa eta urrea, bazkide ugariak? Zergatik agertu zen beharrezko informazioa Citrix-eko bazkide batzuen orrietan 3ko 2020. astean soilik? Bistakoa da oso ordaindutako kanpoko aholkulariek ere egoera arriskutsu horretan lo egin zutela. Ez dut inor iraindu nahi, baina bazkidearen zeregina da batik bat arazoak sor ez daitezen, eta ez horiek kentzeko laguntza eskaintzea = saltzea.
Izan ere, egoera horrek erakusten zuen segurtasun informatikoaren alorreko egoera erreala. Bai enpresetako informatika sailetako langileek bai Citrix bazkideen enpresen aholkulariek egia bat ulertu beharko lukete: ahultasun bat badago, ezabatu egin behar da. Beno, ahultasun kritiko bat berehala kendu behar da!
Iturria: www.habr.com