A leughadair ghràdhach, bu mhath leam a chomharrachadh an toiseach, mar neach-còmhnaidh sa Ghearmailt, gu bheil mi sa mhòr-chuid a’ toirt cunntas air an t-suidheachadh san dùthaich sin. Is dòcha gu bheil an suidheachadh anns an dùthaich agadsa gu tur eadar-dhealaichte.
Air 17 Dùbhlachd 2019, chaidh fiosrachadh mu dheidhinn so-leòntachd chudromach ann an loidhnichean toraidh Citrix Application Delivery Controller (NetScaler ADC) agus Citrix Gateway, ris an canar gu cumanta NetScaler Gateway, fhoillseachadh air duilleag Ionad Eòlais Citrix. Chaidh so-leòntachd a lorg nas fhaide air adhart ann an loidhne thoraidhean SD-WAN cuideachd. Bha buaidh aig an so-leòntachd air na dreachan toraidh uile, bho 10.5 chun an 13.0 làithreach, agus leig i le ionnsaighear gun chead còd droch-rùnach a chuir an gnìomh air an t-siostam, a’ tionndadh NetScaler gu bhith na àrd-ùrlar airson ionnsaighean a bharrachd air an lìonra a-staigh.
Aig an aon àm ri foillseachadh fiosrachaidh mun so-leòntachd, dh’fhoillsich Citrix molaidhean lughdachadh (Workaround). Cha deach gealltainn gum biodh làn phaiste airson na so-leòntachd ri fhaighinn ach ro dheireadh an Fhaoillich 2020.
B’ e cho cudromach sa bha an so-leòntachd seo (àireamh CVE-2019-19781) . A rèir Tha an so-leòntachd a’ toirt buaidh air còrr is 80,000 companaidh air feadh an t-saoghail.
Freagairt a dh’ fhaodadh a bhith ann don naidheachd
Mar neach cunntachail, bha mi den bheachd gun robh a h-uile proifeasanta IT aig an robh toraidhean NetScaler anns a’ bhun-structar aca a’ dèanamh na leanas:
- chuir iad an gnìomh sa bhad a h-uile moladh airson lughdachadh chunnartan a tha air a shònrachadh ann an artaigil CTX267679.
- Rinn sinn ath-sgrùdadh air roghainnean a’ Bhalla-teine gus leigeil le trafaic bho NetScaler a dhol chun lìonra a-staigh.
- Mhol sinn gum bu chòir do rianairean tèarainteachd IT aire a thoirt do oidhirpean “neo-àbhaisteach” gus faighinn gu NetScaler agus an casg ma tha sin riatanach. Mar chuimhneachan, mar as trice bidh NetScaler suidhichte anns an DMZ.
- Smaoinich sinn air NetScaler a dhì-cheangal bhon lìonra airson greis gus am faigheadh sinn fiosrachadh nas mionaidiche mun duilgheadas. Bhiodh seo nas lugha de bhuaireadh rè saor-làithean ro-Nollaig, saor-làithean, agus amannan eile. A bharrachd air an sin, tha roghainn ruigsinneachd eile aig mòran chompanaidhean tro VPN.
Dè thachair an uair sin?
Gu mì-fhortanach, mar a thachair, chaidh na ceumannan gu h-àrd, a tha nan dòigh-obrach àbhaisteach, a leigeil seachad leis a’ mhòr-chuid.
Cha d’ fhuair mòran eòlaichean a tha an urra ri bun-structar Citrix a-mach mun so-leòntachd ach air 13 Faoilleach 2020. Fhuair iad a-mach nuair a chaidh àireamh mhòr de na siostaman air an robh iad an urra a mhilleadh. Ràinig an suidheachadh cho amaideach is gun gabhadh na h-eucoirean a bha a dhìth airson seo a chleachdadh gu furasta. .
Air adhbhar air choireigin, bha mi den bheachd gun robh eòlaichean IT a’ leughadh cuairt-litrichean bho luchd-reic nan siostaman a chaidh earbsa a chur annta, gun robh fios aca ciamar a chleachdas iad Twitter, gun robh iad fo-sgrìobhte ri prìomh eòlaichean nan raon, agus gun robh dleastanas orra fuireach fiosraichte mu thachartasan làithreach.
Gu dearbh, airson còrr is trì seachdainean, rinn grunn luchd-ceannach Citrix dearmad iomlan air molaidhean an neach-dèanamh. Tha luchd-ceannach Citrix a’ toirt a-steach cha mhòr a h-uile companaidh mhòr is meadhanach sa Ghearmailt, a bharrachd air cha mhòr a h-uile buidheann riaghaltais. B’ e buidhnean riaghaltais a thug buaidh sa mhòr-chuid air an t-so-leòntachd.
Ach tha rudeigin ri dhèanamh
Feumaidh an fheadhainn aig an robh na siostaman aca air an cur ann an cunnart ath-shuidheachadh iomlan, a’ gabhail a-steach teisteanasan TSL ùra. Is dòcha gum beachdaich na teachdaichean Citrix sin a bha an dùil gum biodh an solaraiche a’ gabhail ceumannan nas ro-ghnìomhach gus dèiligeadh ris a’ phrìomh sho-leòntachd air roghainnean eile gu mòr. Feumar aideachadh nach eil freagairt Citrix misneachail.
Tha barrachd cheistean ann na freagairtean
Tha a’ cheist ag èirigh: dè bha na com-pàirtichean Citrix lìonmhor, Platinum agus Gold, a’ dèanamh? Carson nach do nochd am fiosrachadh riatanach ach air cuid de dhuilleagan com-pàirtichean Citrix anns an treas seachdain de 2020? Gu soilleir, chaill eadhon comhairlichean bhon taobh a-muigh le tuarastal àrd an suidheachadh cunnartach seo. Gun oilbheum sam bith an dùil, ach is e prìomh obair com-pàirtiche casg a chuir air duilgheadasan bho bhith ag èirigh, chan ann a bhith a’ tabhann no a’ reic taic gus an fhuasgladh.
Gu dearbh, tha an suidheachadh seo air fìor staid tèarainteachd IT fhoillseachadh. Bu chòir do roinnean IT agus comhairlichean aig companaidhean com-pàirteach Citrix aon fhìrinn a thuigsinn: ma tha so-leòntachd ann, feumar a càradh. Agus feumar so-leòntachd chudromach a chàradh sa bhad!
Source: www.habr.com
