ਕਿਵੇਂ ਨਾਜ਼ੁਕ Citrix NetScaler ਕਮਜ਼ੋਰੀ CVE-2019-19781 ਨੇ IT ਉਦਯੋਗ ਵਿੱਚ ਛੁਪੀਆਂ ਸਮੱਸਿਆਵਾਂ ਦਾ ਪਰਦਾਫਾਸ਼ ਕੀਤਾ

ਪਿਆਰੇ ਪਾਠਕ, ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਮੈਂ ਇਹ ਦੱਸਣਾ ਚਾਹਾਂਗਾ ਕਿ ਜਰਮਨੀ ਦੇ ਨਿਵਾਸੀ ਹੋਣ ਦੇ ਨਾਤੇ, ਮੈਂ ਮੁੱਖ ਤੌਰ 'ਤੇ ਇਸ ਦੇਸ਼ ਦੀ ਸਥਿਤੀ ਦਾ ਵਰਣਨ ਕਰ ਰਿਹਾ ਹਾਂ। ਸ਼ਾਇਦ ਤੁਹਾਡੇ ਦੇਸ਼ ਵਿੱਚ ਸਥਿਤੀ ਬਿਲਕੁਲ ਵੱਖਰੀ ਹੈ।

17 ਦਸੰਬਰ, 2019 ਨੂੰ, Citrix Knowledge Center ਪੰਨੇ 'ਤੇ Citrix ਐਪਲੀਕੇਸ਼ਨ ਡਿਲੀਵਰੀ ਕੰਟਰੋਲਰ (NetScaler ADC) ਅਤੇ Citrix Gateway ਉਤਪਾਦ ਲਾਈਨਾਂ, ਜਿਸਨੂੰ NetScaler Gateway ਵਜੋਂ ਜਾਣਿਆ ਜਾਂਦਾ ਹੈ, ਵਿੱਚ ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਸੀ। ਬਾਅਦ ਵਿੱਚ, SD-WAN ਲਾਈਨ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਵੀ ਪਾਈ ਗਈ ਸੀ। ਕਮਜ਼ੋਰੀ ਨੇ 10.5 ਤੋਂ ਮੌਜੂਦਾ 13.0 ਤੱਕ ਦੇ ਸਾਰੇ ਉਤਪਾਦ ਸੰਸਕਰਣਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ ਅਤੇ ਇੱਕ ਅਣਅਧਿਕਾਰਤ ਹਮਲਾਵਰ ਨੂੰ ਸਿਸਟਮ 'ਤੇ ਖਤਰਨਾਕ ਕੋਡ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ, ਨੈੱਟਸਕੇਲਰ ਨੂੰ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ 'ਤੇ ਹੋਰ ਹਮਲਿਆਂ ਲਈ ਇੱਕ ਪਲੇਟਫਾਰਮ ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ।

• CTX267027: CVE-2019-19781 - Citrix ਐਪਲੀਕੇਸ਼ਨ ਡਿਲੀਵਰੀ ਕੰਟਰੋਲਰ ਵਿੱਚ ਕਮਜ਼ੋਰੀ
• CTX267679: CVE-2019-19781 ਲਈ ਕਮੀ ਦੇ ਕਦਮ
• CTX269180: CVE-2019-19781 – ਪੁਸ਼ਟੀਕਰਨ ਟੂਲ (ਪ੍ਰਕਾਸ਼ਿਤ 15.01.2020/XNUMX/XNUMX!)

ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਪ੍ਰਕਾਸ਼ਨ ਦੇ ਨਾਲ ਹੀ, ਸਿਟਰਿਕਸ ਨੇ ਜੋਖਮ ਨੂੰ ਘਟਾਉਣ ਲਈ ਸਿਫ਼ਾਰਸ਼ਾਂ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀਆਂ (ਵਰਕਰਾਉਂਡ)। ਜਨਵਰੀ 2020 ਦੇ ਅੰਤ ਤੱਕ ਕਮਜ਼ੋਰੀ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬੰਦ ਕਰਨ ਦਾ ਵਾਅਦਾ ਕੀਤਾ ਗਿਆ ਸੀ।

ਇਸ ਕਮਜ਼ੋਰੀ ਦੀ ਗੰਭੀਰਤਾ (ਨੰਬਰ CVE-2019-19781) ਸੀ 9.8 ਵਿੱਚੋਂ 10 ਅੰਕ ਦਰਜਾ ਦਿੱਤੇ ਗਏ... ਇਸਦੇ ਅਨੁਸਾਰ ਸਕਾਰਾਤਮਕ ਤਕਨਾਲੋਜੀ ਤੋਂ ਜਾਣਕਾਰੀ ਕਮਜ਼ੋਰੀ ਦੁਨੀਆ ਭਰ ਵਿੱਚ 80 ਤੋਂ ਵੱਧ ਕੰਪਨੀਆਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ।

ਖ਼ਬਰਾਂ 'ਤੇ ਸੰਭਾਵਿਤ ਪ੍ਰਤੀਕਰਮ

ਇੱਕ ਜ਼ਿੰਮੇਵਾਰ ਵਿਅਕਤੀ ਹੋਣ ਦੇ ਨਾਤੇ, ਮੈਂ ਇਹ ਮੰਨਿਆ ਹੈ ਕਿ ਉਹਨਾਂ ਦੇ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ NetScaler ਉਤਪਾਦਾਂ ਵਾਲੇ ਸਾਰੇ IT ਪੇਸ਼ੇਵਰਾਂ ਨੇ ਹੇਠਾਂ ਦਿੱਤੇ ਕੰਮ ਕੀਤੇ ਹਨ:

1. ਲੇਖ CTX267679 ਵਿੱਚ ਦਰਸਾਏ ਜੋਖਮ ਨੂੰ ਘੱਟ ਕਰਨ ਲਈ ਸਾਰੀਆਂ ਸਿਫ਼ਾਰਸ਼ਾਂ ਨੂੰ ਤੁਰੰਤ ਲਾਗੂ ਕੀਤਾ।
2. ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ ਵੱਲ NetScaler ਤੋਂ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਟ੍ਰੈਫਿਕ ਦੇ ਰੂਪ ਵਿੱਚ ਫਾਇਰਵਾਲ ਸੈਟਿੰਗਾਂ ਦੀ ਮੁੜ ਜਾਂਚ ਕੀਤੀ।
3. ਨੇ ਸਿਫ਼ਾਰਿਸ਼ ਕੀਤੀ ਹੈ ਕਿ IT ਸੁਰੱਖਿਆ ਪ੍ਰਸ਼ਾਸਕ NetScaler ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀਆਂ "ਅਸਾਧਾਰਨ" ਕੋਸ਼ਿਸ਼ਾਂ ਵੱਲ ਧਿਆਨ ਦੇਣ ਅਤੇ, ਜੇ ਲੋੜ ਹੋਵੇ, ਤਾਂ ਉਹਨਾਂ ਨੂੰ ਬਲੌਕ ਕਰੋ। ਮੈਨੂੰ ਤੁਹਾਨੂੰ ਯਾਦ ਦਿਵਾਉਣ ਦਿਓ ਕਿ NetScaler ਆਮ ਤੌਰ 'ਤੇ DMZ ਵਿੱਚ ਸਥਿਤ ਹੁੰਦਾ ਹੈ।
4. ਸਮੱਸਿਆ ਬਾਰੇ ਵਧੇਰੇ ਵਿਸਤ੍ਰਿਤ ਜਾਣਕਾਰੀ ਪ੍ਰਾਪਤ ਹੋਣ ਤੱਕ ਨੈੱਟਵਰਕ ਤੋਂ NetScaler ਨੂੰ ਅਸਥਾਈ ਤੌਰ 'ਤੇ ਡਿਸਕਨੈਕਟ ਕਰਨ ਦੀ ਸੰਭਾਵਨਾ ਦਾ ਮੁਲਾਂਕਣ ਕੀਤਾ। ਕ੍ਰਿਸਮਸ ਤੋਂ ਪਹਿਲਾਂ ਦੀਆਂ ਛੁੱਟੀਆਂ, ਛੁੱਟੀਆਂ ਆਦਿ ਦੌਰਾਨ, ਇਹ ਇੰਨਾ ਦੁਖਦਾਈ ਨਹੀਂ ਹੋਵੇਗਾ. ਇਸ ਤੋਂ ਇਲਾਵਾ, ਬਹੁਤ ਸਾਰੀਆਂ ਕੰਪਨੀਆਂ ਕੋਲ VPN ਦੁਆਰਾ ਇੱਕ ਵਿਕਲਪਿਕ ਪਹੁੰਚ ਵਿਕਲਪ ਹੈ.

ਅੱਗੇ ਕੀ ਹੋਇਆ?

ਬਦਕਿਸਮਤੀ ਨਾਲ, ਜਿਵੇਂ ਕਿ ਇਹ ਬਾਅਦ ਵਿੱਚ ਸਪੱਸ਼ਟ ਹੋ ਜਾਵੇਗਾ, ਉਪਰੋਕਤ ਕਦਮ, ਜੋ ਕਿ ਮਿਆਰੀ ਪਹੁੰਚ ਹਨ, ਨੂੰ ਜ਼ਿਆਦਾਤਰ ਦੁਆਰਾ ਅਣਡਿੱਠ ਕੀਤਾ ਗਿਆ ਸੀ।

ਸਿਟਰਿਕਸ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਬਹੁਤ ਸਾਰੇ ਮਾਹਰਾਂ ਨੂੰ 13.01.2020 ਜਨਵਰੀ, XNUMX ਨੂੰ ਹੀ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਪਤਾ ਲੱਗਾ। ਕੇਂਦਰੀ ਖ਼ਬਰਾਂ ਤੋਂ. ਉਹਨਾਂ ਨੂੰ ਉਦੋਂ ਪਤਾ ਲੱਗਾ ਜਦੋਂ ਉਹਨਾਂ ਦੀ ਜਿੰਮੇਵਾਰੀ ਅਧੀਨ ਬਹੁਤ ਸਾਰੇ ਸਿਸਟਮਾਂ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ। ਸਥਿਤੀ ਦੀ ਬੇਹੂਦਾਤਾ ਇਸ ਮੁਕਾਮ 'ਤੇ ਪਹੁੰਚ ਗਈ ਕਿ ਇਸ ਲਈ ਜ਼ਰੂਰੀ ਕਾਰਨਾਮੇ ਪੂਰੀ ਤਰ੍ਹਾਂ ਹੋ ਸਕਦੇ ਹਨ ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ ਇੰਟਰਨੈੱਟ 'ਤੇ ਡਾਊਨਲੋਡ ਕਰੋ.
ਕਿਸੇ ਕਾਰਨ ਕਰਕੇ, ਮੇਰਾ ਮੰਨਣਾ ਹੈ ਕਿ ਆਈਟੀ ਮਾਹਰ ਨਿਰਮਾਤਾਵਾਂ, ਉਹਨਾਂ ਨੂੰ ਸੌਂਪੇ ਗਏ ਸਿਸਟਮਾਂ ਦੀਆਂ ਮੇਲਿੰਗਾਂ ਨੂੰ ਪੜ੍ਹਦੇ ਹਨ, ਜਾਣਦੇ ਹਨ ਕਿ ਟਵਿੱਟਰ ਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕਰਨੀ ਹੈ, ਉਹਨਾਂ ਦੇ ਖੇਤਰ ਵਿੱਚ ਪ੍ਰਮੁੱਖ ਮਾਹਰਾਂ ਦੀ ਗਾਹਕੀ ਲੈਂਦੇ ਹਨ ਅਤੇ ਮੌਜੂਦਾ ਸਮਾਗਮਾਂ ਬਾਰੇ ਜਾਣੂ ਰਹਿਣ ਲਈ ਮਜਬੂਰ ਹਨ।

ਵਾਸਤਵ ਵਿੱਚ, ਤਿੰਨ ਹਫ਼ਤਿਆਂ ਤੋਂ ਵੱਧ ਸਮੇਂ ਲਈ, ਸਿਟਰਿਕਸ ਦੇ ਬਹੁਤ ਸਾਰੇ ਗਾਹਕਾਂ ਨੇ ਨਿਰਮਾਤਾ ਦੀਆਂ ਸਿਫ਼ਾਰਸ਼ਾਂ ਨੂੰ ਪੂਰੀ ਤਰ੍ਹਾਂ ਅਣਡਿੱਠ ਕਰ ਦਿੱਤਾ। ਅਤੇ Citrix ਗਾਹਕਾਂ ਵਿੱਚ ਜਰਮਨੀ ਦੀਆਂ ਲਗਭਗ ਸਾਰੀਆਂ ਵੱਡੀਆਂ ਅਤੇ ਮੱਧਮ ਆਕਾਰ ਦੀਆਂ ਕੰਪਨੀਆਂ ਦੇ ਨਾਲ-ਨਾਲ ਲਗਭਗ ਸਾਰੀਆਂ ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ ਸ਼ਾਮਲ ਹਨ। ਸਭ ਤੋਂ ਪਹਿਲਾਂ, ਕਮਜ਼ੋਰੀ ਨੇ ਸਰਕਾਰੀ ਢਾਂਚੇ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ।

ਪਰ ਕਰਨ ਲਈ ਕੁਝ ਹੈ

ਜਿਨ੍ਹਾਂ ਦੇ ਸਿਸਟਮਾਂ ਨਾਲ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਹੈ, ਉਹਨਾਂ ਨੂੰ TSL ਸਰਟੀਫਿਕੇਟਾਂ ਨੂੰ ਬਦਲਣ ਸਮੇਤ ਪੂਰੀ ਤਰ੍ਹਾਂ ਮੁੜ-ਸਥਾਪਨਾ ਦੀ ਲੋੜ ਹੈ। ਸ਼ਾਇਦ ਉਹ Citrix ਗਾਹਕ ਜਿਨ੍ਹਾਂ ਨੇ ਨਿਰਮਾਤਾ ਤੋਂ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਨੂੰ ਦੂਰ ਕਰਨ ਲਈ ਵਧੇਰੇ ਸਰਗਰਮ ਕਾਰਵਾਈ ਕਰਨ ਦੀ ਉਮੀਦ ਕੀਤੀ ਸੀ, ਗੰਭੀਰਤਾ ਨਾਲ ਇੱਕ ਵਿਕਲਪ ਦੀ ਭਾਲ ਕਰਨਗੇ। ਸਾਨੂੰ ਇਹ ਮੰਨਣਾ ਪਵੇਗਾ ਕਿ ਸਿਟਰਿਕਸ ਦਾ ਜਵਾਬ ਉਤਸ਼ਾਹਜਨਕ ਨਹੀਂ ਹੈ.

ਜਵਾਬਾਂ ਤੋਂ ਵੱਧ ਸਵਾਲ ਹਨ

ਸਵਾਲ ਪੈਦਾ ਹੁੰਦਾ ਹੈ ਕਿ ਸਿਟਰਿਕਸ, ਪਲੈਟੀਨਮ ਅਤੇ ਸੋਨੇ ਦੇ ਅਨੇਕ ਹਿੱਸੇਦਾਰ ਕੀ ਕਰ ਰਹੇ ਸਨ? ਕੁਝ ਸਿਟਰਿਕਸ ਭਾਈਵਾਲਾਂ ਦੇ ਪੰਨਿਆਂ 'ਤੇ ਲੋੜੀਂਦੀ ਜਾਣਕਾਰੀ 3 ਦੇ ਤੀਜੇ ਹਫ਼ਤੇ ਹੀ ਕਿਉਂ ਦਿਖਾਈ ਦਿੱਤੀ? ਜ਼ਾਹਰ ਹੈ ਕਿ ਬਹੁਤ ਜ਼ਿਆਦਾ ਤਨਖ਼ਾਹ ਲੈਣ ਵਾਲੇ ਬਾਹਰੀ ਸਲਾਹਕਾਰ ਵੀ ਇਸ ਖ਼ਤਰਨਾਕ ਸਥਿਤੀ ਵਿੱਚੋਂ ਗੁਜ਼ਰਦੇ ਹਨ। ਮੈਂ ਕਿਸੇ ਨੂੰ ਨਾਰਾਜ਼ ਨਹੀਂ ਕਰਨਾ ਚਾਹੁੰਦਾ, ਪਰ ਇੱਕ ਸਾਥੀ ਦਾ ਕੰਮ ਮੁੱਖ ਤੌਰ 'ਤੇ ਸਮੱਸਿਆਵਾਂ ਨੂੰ ਪੈਦਾ ਹੋਣ ਤੋਂ ਰੋਕਣਾ ਹੈ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਖਤਮ ਕਰਨ ਵਿੱਚ ਮਦਦ ਦੀ ਪੇਸ਼ਕਸ਼ ਨਹੀਂ ਕਰਨਾ ਹੈ।

ਦਰਅਸਲ, ਇਸ ਸਥਿਤੀ ਨੇ ਆਈਟੀ ਸੁਰੱਖਿਆ ਦੇ ਖੇਤਰ ਵਿੱਚ ਮਾਮਲਿਆਂ ਦੀ ਅਸਲ ਸਥਿਤੀ ਨੂੰ ਦਰਸਾਇਆ। ਕੰਪਨੀਆਂ ਦੇ ਆਈਟੀ ਵਿਭਾਗਾਂ ਦੇ ਕਰਮਚਾਰੀਆਂ ਅਤੇ ਸਿਟਰਿਕਸ ਪਾਰਟਨਰ ਕੰਪਨੀਆਂ ਦੇ ਸਲਾਹਕਾਰਾਂ ਦੋਵਾਂ ਨੂੰ ਇੱਕ ਸੱਚਾਈ ਨੂੰ ਸਮਝਣਾ ਚਾਹੀਦਾ ਹੈ: ਜੇਕਰ ਕੋਈ ਕਮਜ਼ੋਰੀ ਹੈ, ਤਾਂ ਇਸਨੂੰ ਖਤਮ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਖੈਰ, ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ ਨੂੰ ਤੁਰੰਤ ਖਤਮ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ!

ਸਰੋਤ: www.habr.com