Caro leitor, antes de mais nada, gostaria de destacar que, como residente na Alemanha, estou principalmente descrevendo a situação neste país. É possível que a situação em seu país seja completamente diferente.
Em 17 de dezembro de 2019, foi publicada na página do Citrix Knowledge Center uma informação sobre uma vulnerabilidade crítica nas linhas de produtos Citrix Application Delivery Controller (NetScaler ADC) e Citrix Gateway, conhecido popularmente como NetScaler Gateway. Posteriormente, a vulnerabilidade também foi encontrada na linha SD-WAN. Ela afetou todas as versões dos produtos, desde a 10.5 até a atual 13.0, permitindo que um invasor não autorizado executasse código malicioso no sistema, praticamente transformando o NetScaler em uma plataforma para futuros ataques à rede interna.
Ao mesmo tempo que publicava informações sobre a vulnerabilidade, a Citrix divulgou recomendações para redução de riscos (Workaround). O fechamento completo da vulnerabilidade foi prometido apenas para o final de janeiro de 2020.
A criticidade dessa vulnerabilidade (número CVE-2019-19781) foi . Segundo a vulnerabilidade afeta mais de 80 mil empresas em todo o mundo.
Possível reação à notícia
Como uma pessoa responsável, eu acreditava que todos os profissionais de TI que possuem produtos NetScaler em sua infraestrutura tomaram as seguintes medidas:
- implementaram imediatamente todas as recomendações mencionadas no artigo CTX267679 para minimizar riscos.
- reverificaram as configurações do Firewall, em relação ao tráfego permitido do NetScaler para a rede interna.
- recomendaram aos administradores de segurança de TI que prestassem atenção a "tentativas incomuns" de acesso ao NetScaler e, se necessário, as bloqueassem. Lembro que o NetScaler geralmente é colocado em DMZ.
- avaliaram a possibilidade de desconectar temporariamente o NetScaler da rede até obter mais informações detalhadas sobre o problema. Durante as férias pré-natalinas, feriados, etc., isso não seria tão doloroso. Além disso, muitas empresas têm a opção alternativa de acesso via VPN.
O que aconteceu a seguir?
Infelizmente, como se verá mais adiante, as etapas descritas acima, que são uma abordagem padrão, foram em sua maioria ignoradas.
muitos especialistas responsáveis pela infraestrutura Citrix só descobriram a vulnerabilidade em 13.01.2020 . Descobriram naquele momento, quando um grande número de sistemas sob sua responsabilidade foi comprometido. A absurdidade da situação chegou a tal ponto que os exploits necessários podiam ser .
Por algum motivo, eu achava que os especialistas em TI liam as newsletters dos fabricantes dos sistemas que administravam, usavam o Twitter, seguiam especialistas renomados em suas áreas e deviam estar cientes dos eventos atuais.
Na verdade, por mais de três semanas, muitos clientes da Citrix ignoraram totalmente as recomendações do fabricante. E os clientes da Citrix são praticamente todas as grandes e médias empresas da Alemanha, assim como quase todas as instituições governamentais. A vulnerabilidade afetou, principalmente, as estruturas governamentais.
Pelo menos há o que fazer
Aqueles cujos sistemas foram comprometidos precisam de uma reinstalação completa, incluindo a substituição dos certificados TSL. É possível que os clientes da Citrix que esperavam um envolvimento mais ativo do fabricante na resolução dessa vulnerabilidade crítica comecem a procurar alternativas. É preciso reconhecer que a reação da Citrix não inspira otimismo.
Há mais perguntas do que respostas
Surge a questão: o que estavam fazendo os numerosos parceiros da Citrix, platinum e gold? Por que apenas na terceira semana de 2020 algumas informações necessárias começaram a aparecer nas páginas de certos parceiros da Citrix? É evidente que até mesmo os consultores externos bem remunerados também não perceberam essa situação perigosa. Não quero ofender ninguém, mas a função do parceiro é, em primeiro lugar, prevenir problemas emergentes, e não apenas oferecer = vender assistência na sua resolução.
De fato, esta situação mostrou a real condição da segurança da informação. Tanto os funcionários dos departamentos de TI das empresas quanto os consultores das firmas parceiras da Citrix precisam entender uma verdade: se há uma vulnerabilidade, ela deve ser corrigida. E uma vulnerabilidade crítica deve ser corrigida imediatamente!
Fonte: habr.com
