Kedves Olvasó, elsősorban szeretném megjegyezni, hogy mivel Németország lakója vagyok, elsősorban itt zajló helyzetet írom le. Lehet, hogy a te országodban a helyzet radikálisan eltérő.
2019. december 17-én a Citrix Knowledge Center oldalán közzétették a Citrix Application Delivery Controller (NetScaler ADC) és a Citrix Gateway, köznyelvben NetScaler Gateway néven ismert termékcsalád kritikus sebezhetőségének információját. Később a sebezhetőséget a SD-WAN termékcsaládban is felfedezték. A sebezhetőség minden termékváltozatot érintett, a 10.5-től egészen a legfrissebb 13.0-ig, és lehetővé tette egy jogosulatlan támadó számára, hogy rosszindulatú kódot futtasson a rendszeren, gyakorlatilag átalakítva a NetScaler-t arra, hogy további támadások kiindulópontja legyen a belső hálózaton.
A sebezhetőség információjának közzététele egyidejűleg a Citrix ajánlásait is tartalmazta a kockázat csökkentésére (Workaround). A sebezhetőség teljes megszüntetése csak 2020 január végére volt ígérve.
A sebezhetőség kritikalitását (CVE-2019-19781) . A Positive Technologies tájékoztatása szerint A lehetséges reakció a hírre
Felelős emberként azt feltételeztem, hogy minden IT szakember, aki a NetScaler termékeket használ a rendszerében, a következőképpen jár el:
azonnal végrehajtotta a CTX267679 cikkben megadott kockázatminimalizáló ajánlásokat.
- átellenőrizte a tűzfal beállításait a NetScaler-ből a belső hálózat irányába engedélyezett forgalom szempontjából.
- ajánlotta az IT-biztonsági adminisztrátoroknak, hogy figyeljenek a NetScaler-hez való "szokatlan" hozzáférési kísérletekre, és szükség esetén blokkolják azokat. Emlékeztetem, hogy a NetScaler általában a DMZ-ben található.
- értékelték a NetScaler ideiglenes leválasztásának lehetőségét a hálózatról, amíg részletesebb információkat nem kapnak a problémáról. Az ünnepek alatt, nyaralások idején stb. ez nem lenne olyan fájdalmas. Ezen kívül sok cégnél van alternatív hozzáférési lehetőség VPN-en keresztül.
- Mi történt ezután?
Sajnos, ahogy később kiderül, a fent említett lépések, amelyek a szokásos megközelítést képezik, a többség által figyelmen kívül lettek hagyva.
Ezeket a lépéseket legtöbben figyelmen kívül hagyták.
Sokan, akik felelősek a Citrix-infrastruktúráért, csak 2020. január 13-án értesültek a sebezhetőségről. . Akkor értesültek róla, amikor a hatáskörük alá tartozó rendszerek óriási része már kompromittálódott. A helyzet abszurditása odáig fajult, hogy a szükséges exploitok teljesen .
Valamiért azt hittem, hogy az IT-szakemberek olvassák a gyártók hírleveleit, tudják, hogyan kell használni a Twittert, követik a vezető szakembereket a területükön, és kötelesek tájékozódni az aktuális eseményekről.
Valójában több mint három hét elteltével számos Citrix-ügyfél teljesen figyelmen kívül hagyta a gyártó ajánlásait. A Citrix ügyfelei gyakorlatilag minden nagy és közepes méretű német vállalat, valamint szinte minden állami intézmény. Elsősorban a sebezhetőség éppen a közigazgatási struktúrákat érintette.
Viszont van mit csinálni.
Azok számára, akiknek a rendszereit kompromittálták, szükséges a teljes újratelepítés, beleértve a TSL-tanúsítványok cseréjét is. Lehetséges, hogy azok a Citrix-ügyfelek, akik aktívabb lépéseket vártak a gyártótól a kritikus sebezhetőség megszüntetése érdekében, komolyan fontolóra veszik az alternatívák keresését. Be kell vallani, hogy a Citrix reakciója nem túl biztató.
Több a kérdés, mint a válasz.
Felkérdeződik, hogy mivel foglalkoztak a Citrix számos partnere, különösen a platinum és gold partnerek? Miért csak 2020 harmadik hetében jelent meg néhány partner oldalon a szükséges információ? Nyilvánvaló, hogy a jól megfizetett külső tanácsadók is lekésték ezt a veszélyes helyzetet. Nem szeretnék senkit megbántani, de a partner feladata elsősorban a problémák megelőzése, nem pedig a megoldásukra való segítségnyújtás = eladás.
Valójában ez a helyzet megmutatta az IT-biztonság valós állapotát. Az IT-osztályok dolgozóinak, valamint a Citrix partnereinek tanácsadóinak meg kell érteniük egy igazságot: ha van sebezhetőség, azt meg kell szüntetni. A kritikus sebezhetőséget pedig azonnal el kell hárítani!
Forrás: habr.com
