כיצד הפגיעות הקריטית של Citrix NetScaler CVE-2019-19781 חשפה בעיות נסתרות בתעשיית ה-IT

קורא יקר, קודם כל אני רוצה לציין שבתור תושב גרמניה, אני מתאר בעיקר את המצב במדינה הזו. אולי המצב במדינה שלך שונה בתכלית.

ב-17 בדצמבר 2019, פורסם מידע בעמוד מרכז הידע של Citrix על פגיעות קריטית בקווי המוצר של Citrix Application Delivery Controller (NetScaler ADC) ו-Citrix Gateway, הידוע בכינויו NetScaler Gateway. מאוחר יותר, נמצאה פגיעות גם בקו ה-SD-WAN. הפגיעות השפיעה על כל גרסאות המוצר מ-10.5 ועד ל-13.0 הנוכחי ואיפשרה לתוקף לא מורשה לבצע קוד זדוני במערכת, מה שהפך למעשה את NetScaler לפלטפורמה להתקפות נוספות על הרשת הפנימית.

• CTX267027: CVE-2019-19781 - פגיעות בבקר אספקת יישומים של Citrix
• CTX267679: שלבי הקלה עבור CVE-2019-19781
• CTX269180: CVE-2019-19781 - כלי אימות (פורסם ב-15.01.2020/XNUMX/XNUMX!)

במקביל לפרסום המידע על הפגיעות, פרסמה Citrix המלצות להפחתת הסיכון (Workaround). סגירה מלאה של הפגיעות הובטחה רק עד סוף ינואר 2020.

חומרת הפגיעות הזו (מספר CVE-2019-19781) הייתה דירוג 9.8 נקודות מתוך 10. על פי מידע מ-Positive Technologies הפגיעות משפיעה על יותר מ-80 חברות ברחבי העולם.

תגובה אפשרית לחדשות

כאדם אחראי, הנחתי שכל מומחי ה-IT עם מוצרי NetScaler בתשתית שלהם עשו את הפעולות הבאות:

1. יישם מיד את כל ההמלצות לצמצום הסיכון המפורט במאמר CTX267679.
2. בדק מחדש את הגדרות חומת האש במונחים של תעבורה מותרת מ-NetScaler לכיוון הרשת הפנימית.
3. מומלץ למנהלי אבטחת IT לשים לב לניסיונות "חריגים" לגשת ל-NetScaler ובמידת הצורך לחסום אותם. הרשו לי להזכיר לכם כי NetScaler ממוקם בדרך כלל ב-DMZ.
4. העריך את האפשרות של ניתוק זמני של NetScaler מהרשת עד לקבלת מידע מפורט יותר על הבעיה. במהלך החגים שלפני חג המולד, חופשות וכו', זה לא יהיה כל כך כואב. בנוסף, לחברות רבות יש אפשרות גישה חלופית באמצעות VPN.

מה קרה אחר כך?

לרוע המזל, כפי שיתברר בהמשך, רובם התעלמו מהשלבים הנ"ל, שהם הגישה הסטנדרטית.

מומחים רבים האחראים על תשתית Citrix למדו על הפגיעות רק ב-13.01.2020 בינואר XNUMX מהחדשות המרכזיות. הם גילו מתי מספר עצום של מערכות שבאחריותם נפגעו. האבסורד של המצב הגיע לנקודה שהמעללים הדרושים לכך יכולים להיות לחלוטין הורדה חוקית באינטרנט.
משום מה האמנתי שמומחי IT קוראים דיוור של יצרנים, מערכות שהופקדו עליהם, יודעים להשתמש בטוויטר, נרשמים למומחים מובילים בתחומם ומחויבים להתעדכן באירועים אקטואליים.

למעשה, במשך יותר משלושה שבועות, לקוחות רבים של סיטריקס התעלמו לחלוטין מהמלצות היצרן. ולקוחות Citrix כוללים כמעט את כל החברות הגדולות והבינוניות בגרמניה, כמו גם כמעט את כל הסוכנויות הממשלתיות. קודם כל, הפגיעות השפיעה על מבנים ממשלתיים.

אבל יש מה לעשות

מי שהמערכות שלו נפגעו זקוקים להתקנה מחדש מלאה, כולל החלפת תעודות TSL. אולי אותם לקוחות Citrix שציפו מהיצרן לנקוט פעולה אקטיבית יותר בביטול הפגיעות הקריטית יחפשו ברצינות אלטרנטיבה. אנחנו חייבים להודות שהתגובה של סיטריקס לא מעודדת.

יותר שאלות מתשובות

נשאלת השאלה, מה עשו השותפים הרבים של סיטריקס, פלטינה וזהב? מדוע המידע הדרוש הופיע בדפים של כמה שותפי Citrix רק בשבוע השלישי של 3? ברור שגם יועצים חיצוניים בעלי שכר גבוה ישנו את המצב המסוכן הזה. אני לא רוצה לפגוע באף אחד, אבל המשימה של שותף היא בעיקר למנוע בעיות להתעורר, ולא להציע = למכור עזרה בחיסולן.

למעשה, מצב זה הראה את מצב העניינים האמיתי בתחום אבטחת ה-IT. גם עובדי מחלקות IT של חברות וגם יועצים של חברות שותפות בסיטריקס צריכים להבין אמת אחת: אם יש פגיעות, יש לבטל אותה. ובכן, יש לבטל פגיעות קריטית באופן מיידי!

מקור: www.habr.com