કેવી રીતે નિર્ણાયક Citrix NetScaler નબળાઈ CVE-2019-19781 એ IT ઉદ્યોગમાં છુપાયેલી સમસ્યાઓનો પર્દાફાશ કર્યો

પ્રિય વાચક, સૌ પ્રથમ હું એ નિર્દેશ કરવા માંગુ છું કે જર્મનીના રહેવાસી તરીકે, હું મુખ્યત્વે આ દેશની પરિસ્થિતિનું વર્ણન કરું છું. કદાચ તમારા દેશમાં પરિસ્થિતિ ધરમૂળથી અલગ છે.

17 ડિસેમ્બર, 2019 ના રોજ, Citrix નોલેજ સેન્ટર પેજ પર Citrix એપ્લિકેશન ડિલિવરી કંટ્રોલર (NetScaler ADC) અને Citrix ગેટવે પ્રોડક્ટ લાઇનમાં નિર્ણાયક નબળાઈ વિશે માહિતી પ્રકાશિત કરવામાં આવી હતી, જે નેટસ્કેલર ગેટવે તરીકે પ્રખ્યાત છે. પાછળથી, SD-WAN લાઇનમાં પણ નબળાઈ જોવા મળી હતી. નબળાઈએ 10.5 થી વર્તમાન 13.0 સુધીના તમામ ઉત્પાદન સંસ્કરણોને અસર કરી અને અનધિકૃત હુમલાખોરને સિસ્ટમ પર દૂષિત કોડ ચલાવવાની મંજૂરી આપી, જે વ્યવહારીક રીતે આંતરિક નેટવર્ક પર વધુ હુમલાઓ માટે નેટસ્કેલરને પ્લેટફોર્મમાં ફેરવે છે.

• CTX267027: CVE-2019-19781 - સિટ્રિક્સ એપ્લિકેશન ડિલિવરી કંટ્રોલરમાં નબળાઈ
• CTX267679: CVE-2019-19781 માટે ઘટાડાનાં પગલાં
• CTX269180: CVE-2019-19781 – ચકાસણી સાધન (પ્રકાશિત 15.01.2020/XNUMX/XNUMX!)

નબળાઈ વિશેની માહિતીના પ્રકાશનની સાથે સાથે, સિટ્રિક્સે જોખમ ઘટાડવા (વર્કરાઉન્ડ) ભલામણો પ્રકાશિત કરી. જાન્યુઆરી 2020 ના અંત સુધીમાં નબળાઈને સંપૂર્ણ રીતે બંધ કરવાનું વચન આપવામાં આવ્યું હતું.

આ નબળાઈની ગંભીરતા (નંબર CVE-2019-19781) હતી 9.8 માંથી 10 પોઈન્ટ રેટ કર્યા છે... અનુસાર હકારાત્મક ટેક્નોલોજીઓમાંથી માહિતી નબળાઈ વિશ્વભરમાં 80 થી વધુ કંપનીઓને અસર કરે છે.

સમાચાર માટે સંભવિત પ્રતિક્રિયા

એક જવાબદાર વ્યક્તિ તરીકે, મેં ધાર્યું હતું કે NetScaler ઉત્પાદનો ધરાવતા તમામ IT વ્યાવસાયિકોએ તેમના ઈન્ફ્રાસ્ટ્રક્ચરમાં નીચે મુજબ કર્યું છે:

1. લેખ CTX267679 માં નિર્દિષ્ટ જોખમ ઘટાડવા માટેની તમામ ભલામણોને તાત્કાલિક અમલમાં મૂકી.
2. NetScaler થી આંતરિક નેટવર્ક તરફ મંજૂર ટ્રાફિકના સંદર્ભમાં ફાયરવોલ સેટિંગ્સને ફરીથી તપાસી.
3. ભલામણ કરી છે કે IT સુરક્ષા પ્રબંધકો નેટસ્કેલરને ઍક્સેસ કરવાના "અસામાન્ય" પ્રયાસો પર ધ્યાન આપે અને, જો જરૂરી હોય તો, તેમને અવરોધિત કરો. હું તમને યાદ અપાવી દઉં કે NetScaler સામાન્ય રીતે DMZ માં સ્થિત હોય છે.
4. જ્યાં સુધી સમસ્યા વિશે વધુ વિગતવાર માહિતી પ્રાપ્ત ન થાય ત્યાં સુધી નેટવર્કમાંથી NetScaler ને અસ્થાયી રૂપે ડિસ્કનેક્ટ કરવાની શક્યતાનું મૂલ્યાંકન કર્યું. ક્રિસમસ પૂર્વેની રજાઓ, વેકેશન વગેરે દરમિયાન આ એટલું દુઃખદાયક નહિ હોય. વધુમાં, ઘણી કંપનીઓ પાસે VPN દ્વારા વૈકલ્પિક ઍક્સેસ વિકલ્પ છે.

આગળ શું થયું?

કમનસીબે, કારણ કે તે પછીથી સ્પષ્ટ થશે, ઉપરોક્ત પગલાં, જે પ્રમાણભૂત અભિગમ છે, તે મોટાભાગના દ્વારા અવગણવામાં આવ્યા હતા.

સિટ્રિક્સ ઇન્ફ્રાસ્ટ્રક્ચર માટે જવાબદાર ઘણા નિષ્ણાતોએ 13.01.2020 જાન્યુઆરી, XNUMXના રોજ જ નબળાઈ વિશે જાણ્યું. કેન્દ્રીય સમાચારમાંથી. જ્યારે તેમની જવાબદારી હેઠળ મોટી સંખ્યામાં સિસ્ટમો સાથે ચેડા કરવામાં આવ્યા હતા ત્યારે તેઓને જાણવા મળ્યું હતું. પરિસ્થિતિની વાહિયાતતા એ બિંદુએ પહોંચી કે આ માટે જરૂરી શોષણ સંપૂર્ણપણે હોઈ શકે છે ઇન્ટરનેટ પર કાયદેસર રીતે ડાઉનલોડ કરો.
કેટલાક કારણોસર, હું માનતો હતો કે આઇટી નિષ્ણાતો ઉત્પાદકોના મેઇલિંગ્સ વાંચે છે, તેમને સોંપવામાં આવેલી સિસ્ટમ્સ, ટ્વિટરનો ઉપયોગ કેવી રીતે કરવો તે જાણે છે, તેમના ક્ષેત્રના અગ્રણી નિષ્ણાતોને સબ્સ્ક્રાઇબ કરે છે અને વર્તમાન ઘટનાઓથી પરિચિત રહેવા માટે બંધાયેલા છે.

વાસ્તવમાં, ત્રણ અઠવાડિયાથી વધુ સમય માટે, સિટ્રિક્સના અસંખ્ય ગ્રાહકોએ ઉત્પાદકની ભલામણોને સંપૂર્ણપણે અવગણી હતી. અને Citrix ક્લાયન્ટ્સમાં જર્મનીની લગભગ તમામ મોટી અને મધ્યમ કદની કંપનીઓ તેમજ લગભગ તમામ સરકારી એજન્સીઓનો સમાવેશ થાય છે. સૌ પ્રથમ, નબળાઈએ સરકારી માળખાને અસર કરી.

પણ કંઈક કરવાનું છે

જેમની સિસ્ટમો સાથે ચેડાં કરવામાં આવ્યા છે તેમને TSL પ્રમાણપત્રો બદલવા સહિત સંપૂર્ણ પુનઃસ્થાપનની જરૂર છે. કદાચ તે Citrix ગ્રાહકો કે જેમણે નિર્માતા દ્વારા નિર્ણાયક નબળાઈને દૂર કરવા માટે વધુ સક્રિય પગલાં લેવાની અપેક્ષા રાખી હતી તેઓ ગંભીરતાથી વિકલ્પની શોધ કરશે. આપણે સ્વીકારવું પડશે કે સિટ્રિક્સનો પ્રતિભાવ પ્રોત્સાહક નથી.

જવાબો કરતાં વધુ પ્રશ્નો છે

સવાલ એ થાય છે કે સિટ્રિક્સ, પ્લેટિનમ અને ગોલ્ડના અસંખ્ય ભાગીદારો શું કરી રહ્યા હતા? 3 ના ત્રીજા અઠવાડિયામાં જ સિટ્રિક્સના કેટલાક ભાગીદારોના પેજ પર જરૂરી માહિતી શા માટે દેખાઈ? આ ખતરનાક પરિસ્થિતિમાંથી ઉચ્ચ પગાર મેળવતા બાહ્ય સલાહકારો પણ સૂઈ ગયા હોય તે સ્પષ્ટ છે. હું કોઈને નારાજ કરવા માંગતો નથી, પરંતુ જીવનસાથીનું કાર્ય મુખ્યત્વે સમસ્યાઓ ઊભી થતી અટકાવવાનું છે, અને તેને દૂર કરવામાં મદદની ઓફર કરવી નહીં.

વાસ્તવમાં, આ પરિસ્થિતિએ IT સુરક્ષાના ક્ષેત્રમાં વાસ્તવિક સ્થિતિ દર્શાવી. કંપનીઓના આઈટી વિભાગના કર્મચારીઓ અને સિટ્રિક્સ ભાગીદાર કંપનીઓના સલાહકારો બંનેએ એક સત્ય સમજવું જોઈએ: જો કોઈ નબળાઈ હોય, તો તેને દૂર કરવી જોઈએ. ઠીક છે, એક જટિલ નબળાઈ તરત જ દૂર થવી જોઈએ!

સોર્સ: www.habr.com