Beste lezer, allereerst wil ik aangeven dat ik als inwoner van Duitsland voornamelijk de situatie in dit land beschrijf. Het kan zijn dat de situatie in uw land totaal anders is.
Op 17 december 2019 werd er op de pagina van het Citrix Knowledge Center informatie gepubliceerd over een kritieke kwetsbaarheid in de productlijnen Citrix Application Delivery Controller (NetScaler ADC) en Citrix Gateway, algemeen bekend als NetScaler Gateway. Later werd de kwetsbaarheid ook gevonden in de SD-WAN productlijn. De kwetsbaarheid betroffen alle versies van de producten, beginnend bij 10.5 tot en met de huidige 13.0, en stelde een niet-geauthenticeerde aanvaller in staat om kwaadwillende code uit te voeren in het systeem, waardoor NetScaler vrijwel omgevormd werd tot een platform voor verdere aanvallen op het interne netwerk.
Gelijktijdig met de publicatie van de kwetsbaarheid, publiceerde Citrix aanbevelingen om het risico te verminderen (Workaround). Volledige afsluiting van de kwetsbaarheid werd pas tegen het einde van januari 2020 beloofd.
De ernst van deze kwetsbaarheid (nummer CVE-2019-19781) werd . Volgens treft de kwetsbaarheid meer dan 80.000 bedrijven wereldwijd.
Mogelijke reactie op het nieuws
Als verantwoordelijk persoon dacht ik dat alle IT-specialisten met NetScaler-producten in hun infrastructuur het volgende deden:
- onmiddellijk alle in het artikel CTX267679 aangegeven aanbevelingen voor risicomitigatie implementeerden.
- de instellingen van de firewall controleerden, qua toegestaan verkeer van NetScaler naar het interne netwerk.
- de IT-beveiligingsbeheerders adviseerden om op 'ongebruikelijke' toegangspogingen naar NetScaler te letten en deze indien nodig te blokkeren. Ter herinnering, NetScaler bevindt zich doorgaans in de DMZ.
- de mogelijkheid om NetScaler tijdelijk van het netwerk los te koppelen evalueerden, tot meer gedetailleerde informatie over het probleem beschikbaar is. Tijdens de periodes van voor-kerst vakanties, vakanties, enzovoort, zou dit niet zo pijnlijk zijn. Bovendien hebben veel bedrijven een alternatieve toegang via VPN.
Wat is er daarna gebeurd?
Helaas, zoals later zal blijken, werden de hierboven beschreven stappen, die een standaardbenadering zijn, door de meeste genegeerd.
Veel IT-professionals, die verantwoordelijk zijn voor de Citrix-infrastructuur, ontdekten de kwetsbaarheid pas op 13 januari 2020. Ze ontdekten dit pas toen een groot aantal systemen dat onder hun verantwoordelijkheid viel was gecompromitteerd. De absurditeit van de situatie reikte tot het punt dat de benodigde exploits volledig .
Ik dacht altijd dat IT-professionals de nieuwsbrieven van hun systeemleveranciers lezen, weten hoe ze Twitter moeten gebruiken, volgen de toonaangevende specialisten in hun vakgebied en verplicht zijn om op de hoogte te zijn van actuele gebeurtenissen.
Feitelijk negeerden talrijke Citrix-klanten gedurende meer dan drie weken de aanbevelingen van de fabrikant volledig. En de klanten van Citrix zijn vrijwel alle grote en middelgrote bedrijven in Duitsland, evenals bijna alle overheidsinstellingen. In het bijzonder was de kwetsbaarheid gericht op overheidsstructuren.
Maar er is genoeg te doen.
Degenen wiens systemen zijn gecompromitteerd, moeten een volledige herinstallatie uitvoeren, inclusief het vervangen van TSL-certificaten. Het is mogelijk dat die Citrix-klanten die meer actieve maatregelen van de fabrikant verwachtten om de kritieke kwetsbaarheid te verhelpen, serieus op zoek gaan naar alternatieven. We moeten toegeven dat de reactie van Citrix weinig vertrouwen wekt.
Er zijn meer vragen dan antwoorden.
De vraag rijst wat de vele partners van Citrix, zowel platinum als gold, hebben gedaan. Waarom verscheen pas in de derde week van 2020 op de pagina's van sommige Citrix-partners de noodzakelijke informatie? Het is duidelijk dat ook de hoogbetaalde externe consultants deze gevaarlijke situatie hebben gemist. Ik wil niemand beledigen, maar de taak van een partner is in de eerste plaats het voorkomen van opkomende problemen, en niet het aanbieden = verkopen van hulp bij het oplossen ervan.
Feitelijk heeft deze situatie de werkelijke staat van zaken in de IT-beveiliging aan het licht gebracht. Zowel de medewerkers van IT-afdelingen in bedrijven als de consultants van Citrix-partnerbedrijven dienen een waarheid begrijpen: als er een kwetsbaarheid is, moet deze worden verholpen. En een kritieke kwetsbaarheid moet onmiddellijk worden verholpen!
Bron: habr.com
