Comment la vulnérabilité critique Citrix NetScaler CVE-2019-19781 a exposé les problèmes cachés de l'industrie IT

Cher lecteur, je voudrais d'abord préciser qu'étant résident en Allemagne, je décris principalement la situation dans ce pays. Peut-être que dans votre pays, la situation est radicalement différente.

Le 17 décembre 2019, des informations sur une vulnérabilité critique dans les produits Citrix Application Delivery Controller (NetScaler ADC) et Citrix Gateway, connu du grand public sous le nom de NetScaler Gateway, ont été publiées sur la page du Citrix Knowledge Center. Par la suite, la vulnérabilité a également été détectée dans la gamme SD-WAN. Cette vulnérabilité affectait toutes les versions des produits, de 10.5 à la version actuelle 13.0, et permettait à un attaquant non autorisé d'exécuter du code malveillant dans le système, transformant pratiquement NetScaler en plateforme pour de futures attaques sur le réseau interne.

• CTX267027 : CVE-2019-19781 — Vulnérabilité dans Citrix Application Delivery Controller
• CTX267679 : Étapes de mitigation pour CVE-2019-19781
• CTX269180 : CVE-2019-19781 – Outil de vérification (Publié le 15.01.2020 !)

En même temps que la publication des informations sur la vulnérabilité, Citrix a publié des recommandations pour réduire le risque (Workaround). La fermeture complète de la vulnérabilité n'était promise qu'à la fin janvier 2020.

La criticité de cette vulnérabilité (numéro CVE-2019-19781) a été évaluée à 9,8 sur 10.Selon les informations de la société Positive Technologies, la vulnérabilité touche plus de 80 000 entreprises dans le monde.

Réaction possible à la nouvelle

En tant que personne responsable, je pensais que tous les professionnels de l'IT ayant des produits NetScaler dans leur infrastructure avaient réagi de la manière suivante :

1. ont immédiatement mis en œuvre toutes les recommandations indiquées dans l'article CTX267679 pour minimiser le risque.
2. ont vérifié les paramètres du pare-feu concernant le trafic autorisé de NetScaler vers le réseau interne.
3. ont recommandé aux administrateurs de la sécurité IT de prêter attention aux tentatives d'accès "inhabituelles" à NetScaler et, si nécessaire, de les bloquer. Je rappelle que NetScaler est généralement situé dans la DMZ.
4. ont évalué la possibilité de déconnecter temporairement NetScaler du réseau, jusqu'à obtenir des informations plus détaillées sur le problème. Pendant les vacances de Noël, cela aurait été moins douloureux. De plus, de nombreuses entreprises ont une alternative d'accès via VPN.

Que s'est-il passé par la suite ?

Malheureusement, comme cela sera révélé par la suite, les étapes décrites ci-dessus, qui constituent une approche standard, ont été en grande partie ignorées.

Beaucoup de professionnels responsables de l'infrastructure Citrix n'ont pris connaissance de la vulnérabilité que le 13.01.2020 dans les nouvelles centrales. Ils l'ont appris seulement lorsque de nombreux systèmes sous leur responsabilité ont été compromis. L'absurdité de la situation était telle que les exploits nécessaires pouvaient être téléchargés légalement sur Internet.
Je croyais pourtant que les professionnels de l'informatique lisaient les bulletins d'information des fabricants des systèmes qui leur sont confiés, qu'ils savaient utiliser Twitter, qu'ils suivaient les principaux experts de leur domaine et qu'ils devaient être au courant des événements actuels.

En fait, pendant plus de trois semaines, de nombreux clients de Citrix ont complètement ignoré les recommandations du fabricant. Et les clients de Citrix incluent pratiquement toutes les grandes et moyennes entreprises allemandes, ainsi que presque toutes les administrations publiques. La vulnérabilité a principalement touché les structures gouvernementales.

Mais il y a de quoi s'occuper

Ceux dont les systèmes ont été compromis doivent être complètement réinstallés, y compris le remplacement des certificats TSL. Il est possible que ces clients de Citrix, qui attendaient des actions plus actives de la part du fabricant pour résoudre cette vulnérabilité critique, songent sérieusement à chercher des alternatives. Il faut reconnaître que la réaction de Citrix n'inspire pas confiance.

Il y a plus de questions que de réponses

La question se pose, que faisaient les nombreux partenaires de Citrix, en or et en platine ? Pourquoi la nécessaire information n'est-elle apparue sur les pages de certains partenaires de Citrix que lors de la troisième semaine de 2020 ? Il est évident que même les consultants externes très bien rémunérés ont également négligé cette situation dangereuse. Je ne veux blesser personne, mais la tâche d'un partenaire est avant tout de prévenir les problèmes qui surgissent, et non de proposer = vendre de l'aide pour les résoudre.

En fait, cette situation a révélé la réalité de la sécurité IT. Tant les employés des départements IT des entreprises que les consultants des entreprises partenaires de Citrix doivent comprendre une vérité : s'il y a une vulnérabilité, elle doit être corrigée. Et une vulnérabilité critique doit être corrigée immédiatement !

Source : habr.com