Dragi čitatelju, želim prvo naglasiti da kao stanovnik Njemačke, prvenstveno opisujem situaciju u ovoj zemlji. Moguće je da je situacija u vašoj zemlji radikalno drugačija.
17. decembra 2019. godine na stranici Citrix Knowledge Center objavljene su informacije o kritičnoj ranjivosti u linijama proizvoda Citrix Application Delivery Controller (NetScaler ADC) i Citrix Gateway, poznatom u narodu kao NetScaler Gateway. U narednom periodu ranjivost je pronađena i u liniji SD-WAN. Ranjivost je pogađala sve verzije proizvoda, počevši od 10.5 do aktuelne 13.0 te je omogućila neautorizovanom napadaču izvršavanje malicioznog koda u sistemu, praktično pretvarajući NetScaler u platformu za daljnje napade na unutrašnju mrežu.
Istovremeno s objavom informacija o ranjivosti, Citrix je objavio preporuke za smanjenje rizika (Workaround). Potpuno zatvaranje ranjivosti bilo je obećano tek do kraja januara 2020. godine.
Kritičnost ove ranjivosti (broj CVE-2019-19781) je . Prema ranjivost pogađa više od 80.000 kompanija širom sveta.
Moguća reakcija na vest
Kao odgovorna osoba, smatrao sam da su svi IT stručnjaci, koji imaju proizvode NetScaler u svojoj infrastrukturi, postupili na sledeći način:
- neodložno implementirali sve preporučene korake iz članka CTX267679 za minimizaciju rizika.
- ponovo proverili postavke Firewall-a, u pogledu dozvoljenog saobraćaja od NetScaler-a prema unutrašnjoj mreži.
- preporučili administratorima IT sigurnosti da obrate pažnju na 'neobične' pokušaje pristupa NetScaler-u i u slučaju potrebe da ih blokiraju. Podsećam, NetScaler se obično nalazi u DMZ.
- procijenili mogućnost privremenog isključivanja NetScaler-a iz mreže, do dobijanja detaljnijih informacija o problemu. Tokom predbožićnih praznika, odmora itd. to ne bi bilo tako bolno. Pored toga, mnoge firme imaju alternativnu mogućnost pristupa putem VPN-a.
Šta se dalje dogodilo?
Žal, kot se bo izkazalo kasneje, so bili zgoraj opisani koraki, ki predstavljajo standardni pristop, večinoma ignorirani.
Mnogi strokovnjaki, odgovorni za Citrix infrastrukturo, so o ranljivosti izvedeli šele 13. 1. 2020. . Tisti so izvedeli, ko je bilo ogromno število sistemov, ki so bili pod njihovo odgovornostjo, kompromitiranih. Absurdnost situacije je dosegla točko, kjer so bili potrebni eksploitji povsem .
Nekako sem domneval, da IT strokovnjaki berejo obvestila proizvajalcev sistemov, ki so jim dodeljeni, znajo uporabljati Twitter, sledijo vodilnim strokovnjakom v svoji panogi in so dolžni biti na tekočem z aktualnimi dogodki.
V resnici so številni kupci Citrixa več kot tri tedne popolnoma ignorirali priporočila proizvajalca. Citrixovi kupci so praktično vse velike in srednje družbe v Nemčiji ter skoraj vse državne ustanove. Ranjivost je predvsem zadevala državne strukture.
Vsaj je nekaj dela.
Tisti, katerih sistemi so bili kompromitirani, potrebujejo popolno ponovno namestitev, vključno z zamenjavo TSL certifikatov. Morda se bodo tisti kupci Citrixa, ki so pričakovali od proizvajalca bolj aktivne ukrepe pri odpravi kritične ranljivosti, resno lotili iskanja alternativ. Treba je priznati, da reakcija Citrixa ne navdihuje zaupanja.
Več vprašanj kot odgovorov.
Pojavlja se vprašanje, kaj so počeli številni partnerji podjetja Citrix, zlati in platinasti? Zakaj je šele v tretjem tednu leta 2020 na straneh nekaterih partnerjev Citrixa pojavila potrebna informacija? Očitno so tudi dragoceni zunanji svetovalci zamudili to nevarno situacijo. Ne želim nikogar prizadeti, toda naloga partnerja je v prvi vrsti preprečevanje nastajajočih težav, ne pa ponujanje = prodaja pomoči pri njihovi rešitvi.
V resnici je ta situacija razkrila dejansko stanje v svetu IT varnosti. Tako zaposlenim v IT oddelkih podjetij kot tudi svetovalcem partnerskih podjetij Citrixa bi morala biti jasna ena resnica: če obstaja ranljivost, jo je treba odpraviti. Kritične ranljivosti je treba odpraviti takoj!
Izvor: habr.com
