ప్రియమైన పాఠకుడా, నేను జర్మనీ నివాసిగా, ఈ దేశంలోని పరిస్థితిని ప్రధానంగా వివరిస్తున్నాను అని నేను మొదట సూచించాలనుకుంటున్నాను. బహుశా మీ దేశంలో పరిస్థితి పూర్తిగా భిన్నంగా ఉండవచ్చు.
డిసెంబర్ 17, 2019న, Citrix నాలెడ్జ్ సెంటర్ పేజీలో Citrix అప్లికేషన్ డెలివరీ కంట్రోలర్ (NetScaler ADC) మరియు NetScaler గేట్వేగా ప్రసిద్ధి చెందిన Citrix Gateway ఉత్పత్తి లైన్లలో ఒక క్లిష్టమైన దుర్బలత్వం గురించి సమాచారం ప్రచురించబడింది. తరువాత, SD-WAN లైన్లో కూడా ఒక దుర్బలత్వం కనుగొనబడింది. దుర్బలత్వం 10.5 నుండి ప్రస్తుత 13.0 వరకు ఉన్న అన్ని ఉత్పత్తి సంస్కరణలను ప్రభావితం చేసింది మరియు సిస్టమ్పై హానికరమైన కోడ్ని అమలు చేయడానికి అనధికార దాడి చేసే వ్యక్తిని అనుమతించింది, ఆచరణాత్మకంగా నెట్స్కేలర్ను అంతర్గత నెట్వర్క్పై తదుపరి దాడులకు వేదికగా మార్చింది.
దుర్బలత్వం గురించి సమాచారాన్ని ప్రచురించడంతో పాటు, సిట్రిక్స్ ప్రమాదాన్ని తగ్గించడానికి సిఫార్సులను ప్రచురించింది (పరిష్కారం). జనవరి 2020 చివరి నాటికి మాత్రమే హానిని పూర్తిగా మూసివేస్తామని వాగ్దానం చేయబడింది.
ఈ దుర్బలత్వం యొక్క తీవ్రత (నంబర్ CVE-2019-19781) ... ప్రకారం ఈ దుర్బలత్వం ప్రపంచవ్యాప్తంగా 80 కంటే ఎక్కువ కంపెనీలను ప్రభావితం చేస్తుంది.
వార్తలకు సాధ్యమైన స్పందన
బాధ్యతాయుతమైన వ్యక్తిగా, నెట్స్కేలర్ ఉత్పత్తులను కలిగి ఉన్న అందరు IT నిపుణులు తమ ఇన్ఫ్రాస్ట్రక్చర్లో ఈ క్రింది వాటిని చేశారని నేను ఊహించాను:
- ఆర్టికల్ CTX267679లో పేర్కొన్న ప్రమాదాన్ని తగ్గించడానికి అన్ని సిఫార్సులను వెంటనే అమలు చేసింది.
- నెట్స్కేలర్ నుండి అంతర్గత నెట్వర్క్ వైపు అనుమతించబడిన ట్రాఫిక్ పరంగా ఫైర్వాల్ సెట్టింగ్లను మళ్లీ తనిఖీ చేసింది.
- IT భద్రతా నిర్వాహకులు NetScalerని యాక్సెస్ చేయడానికి "అసాధారణ" ప్రయత్నాలకు శ్రద్ధ వహించాలని మరియు అవసరమైతే, వాటిని నిరోధించాలని సిఫార్సు చేయబడింది. NetScaler సాధారణంగా DMZలో ఉంటుందని నేను మీకు గుర్తు చేస్తాను.
- సమస్య గురించి మరింత వివరణాత్మక సమాచారం పొందే వరకు నెట్స్కేలర్ను నెట్వర్క్ నుండి తాత్కాలికంగా డిస్కనెక్ట్ చేసే అవకాశాన్ని అంచనా వేసింది. క్రిస్మస్ ముందు సెలవులు, సెలవులు మొదలైన వాటిలో, ఇది చాలా బాధాకరమైనది కాదు. అదనంగా, చాలా కంపెనీలు VPN ద్వారా ప్రత్యామ్నాయ యాక్సెస్ ఎంపికను కలిగి ఉన్నాయి.
తరువాత ఏం జరిగింది?
దురదృష్టవశాత్తూ, ఇది తరువాత స్పష్టమవుతుంది కాబట్టి, ప్రామాణిక విధానం అయిన పై దశలను చాలా మంది విస్మరించారు.
సిట్రిక్స్ ఇన్ఫ్రాస్ట్రక్చర్కు బాధ్యత వహించే చాలా మంది నిపుణులు జనవరి 13.01.2020, XNUMXన మాత్రమే హాని గురించి తెలుసుకున్నారు . తమ బాధ్యతలో ఉన్న భారీ సంఖ్యలో వ్యవస్థలు రాజీ పడినప్పుడు వారు కనుగొన్నారు. పరిస్థితి యొక్క అసంబద్ధత దీనికి అవసరమైన దోపిడీలు పూర్తిగా ఉండవచ్చని చేరుకుంది .
కొన్ని కారణాల వల్ల, IT నిపుణులు తయారీదారుల నుండి మెయిలింగ్లను చదివారని, వారికి అప్పగించిన సిస్టమ్లు, Twitterని ఎలా ఉపయోగించాలో తెలుసుకుంటారని, వారి రంగంలోని ప్రముఖ నిపుణులకు సభ్యత్వాన్ని పొందాలని మరియు ప్రస్తుత సంఘటనల గురించి తెలుసుకోవాలని నేను నమ్ముతున్నాను.
వాస్తవానికి, మూడు వారాలకు పైగా, అనేక మంది సిట్రిక్స్ కస్టమర్లు తయారీదారు సిఫార్సులను పూర్తిగా విస్మరించారు. మరియు సిట్రిక్స్ క్లయింట్లలో జర్మనీలోని దాదాపు అన్ని పెద్ద మరియు మధ్య తరహా కంపెనీలు, అలాగే దాదాపు అన్ని ప్రభుత్వ ఏజెన్సీలు ఉన్నాయి. అన్నింటిలో మొదటిది, దుర్బలత్వం ప్రభుత్వ నిర్మాణాలను ప్రభావితం చేసింది.
అయితే చేయాల్సిన పని ఉంది
సిస్టమ్లు రాజీపడిన వారికి TSL ప్రమాణపత్రాల భర్తీతో సహా పూర్తి రీఇన్స్టాలేషన్ అవసరం. క్లిష్టమైన దుర్బలత్వాన్ని తొలగించడంలో తయారీదారు మరింత చురుకైన చర్య తీసుకోవాలని ఆశించిన సిట్రిక్స్ కస్టమర్లు ప్రత్యామ్నాయం కోసం తీవ్రంగా చూస్తారు. సిట్రిక్స్ ప్రతిస్పందన ప్రోత్సాహకరంగా లేదని మనం అంగీకరించాలి.
సమాధానాల కంటే ఎక్కువ ప్రశ్నలు ఉన్నాయి
ప్రశ్న తలెత్తుతుంది, సిట్రిక్స్, ప్లాటినం మరియు బంగారం యొక్క అనేక భాగస్వాములు ఏమి చేస్తున్నారు? 3 2020వ వారంలో మాత్రమే కొంతమంది సిట్రిక్స్ భాగస్వాముల పేజీలలో అవసరమైన సమాచారం ఎందుకు కనిపించింది? ఈ ప్రమాదకరమైన పరిస్థితిలో అధిక వేతనం పొందిన బాహ్య కన్సల్టెంట్లు కూడా నిద్రపోయారని స్పష్టంగా తెలుస్తుంది. నేను ఎవరినీ కించపరచకూడదనుకుంటున్నాను, కానీ భాగస్వామి యొక్క పని ప్రధానంగా సమస్యలు తలెత్తకుండా నిరోధించడం మరియు వాటిని తొలగించడంలో సహాయం అందించడం = అమ్మడం కాదు.
నిజానికి ఈ ప రిస్థితి ఐటీ సెక్యురిటీ విష యంలో అస లు ప రిస్థితిని చూపించింది. కంపెనీల ఐటి విభాగాల ఉద్యోగులు మరియు సిట్రిక్స్ భాగస్వామి కంపెనీల కన్సల్టెంట్లు ఇద్దరూ ఒక సత్యాన్ని అర్థం చేసుకోవాలి: దుర్బలత్వం ఉంటే, అది తప్పనిసరిగా తొలగించబడాలి. సరే, ఒక క్లిష్టమైన దుర్బలత్వం వెంటనే తొలగించబడాలి!
మూలం: www.habr.com
