ЗАГОЛОВНИК

26 сентября исследовательская компания watchTowr предупредила об активной эксплуатации двух ранее неизвестных уязвимостей нулевого дня в продуктах Citrix NetScaler ADC и NetScaler Gateway. Обе бреши позволяют злоумышленникам выполнять удалённый код (RCE) на уязвимых устройствах. На момент публикации Citrix не подтвердила существование этих проблем и не выпустила официальных исправлений, что делает ситуацию особенно опасной для организаций, использующих данные решения в своей инфраструктуре. NetScaler ADC и NetScaler Gateway широко применяются для организации удалённого доступа, балансировки нагрузки и публикации внутренних приложений. Устройства часто размещаются на периметре сети и напрямую доступны из интернета, что делает их привлекательной целью для атакующих. Компрометация такого шлюза может открыть злоумышленникам путь во внутреннюю инфраструктуру компании.

Подробности

По данным watchTowr, речь идёт о двух отдельных уязвимостях, каждая из которых позволяет добиться удалённого выполнения кода. Точные технические детали, включая идентификаторы CVE, затронутые версии и векторы атак, на момент публикации не раскрыты — отчасти потому, что производитель ещё не подтвердил факт наличия уязвимостей и не выпустил патчи. Именно отсутствие исправлений делает окно уязвимости особенно широким: у администраторов нет официального способа закрыть брешь, кроме временных обходных мер. Сообщается, что эксплуатация носит активный характер, то есть злоумышленники уже используют эти уязвимости в реальных атаках, а не только в теоретических сценариях. Это подтверждает высокий уровень риска и требует от организаций немедленной реакции. Часть администраторов, узнав о проблеме, приняла решение полностью вывести свои устройства NetScaler из эксплуатации или отключить их от интернета, чтобы не дожидаться выхода официального патча. Такой шаг, хоть и радикальный, позволяет снизить риск компрометации до момента появления исправлений. Стоит отметить, что продукты Citrix NetScaler уже неоднократно становились объектом массовых атак. Ранее в них обнаруживались критические уязвимости, которые злоумышленники активно использовали для получения первоначального доступа к корпоративным сетям. Нынешний инцидент продолжает эту тревожную тенденцию и вновь подчёркивает важность своевременного мониторинга периметра.

Что делать

До выпуска официальных патчей Citrix организациям рекомендуется принять следующие меры: — Проверить, используются ли в инфраструктуре NetScaler ADC и NetScaler Gateway, и оценить, доступны ли они напрямую из интернета. — По возможности ограничить доступ к административным интерфейсам и панелям управления, закрыв их от внешних подключений. — Рассмотреть временное отключение уязвимых устройств или их вывод из публичного доступа, как это уже сделали некоторые администраторы. — Внимательно следить за официальными уведомлениями Citrix и за обновлениями от исследовательских команд, чтобы оперативно получить информацию о патчах и идентификаторах CVE. — Усилить мониторинг логов и аномальной активности на периметре, а также проверить наличие признаков компрометации. — Убедиться, что для доступа к критичным системам применяются MFA и другие дополнительные меры защиты. Стоит учитывать, что любые временные обходные меры не заменяют полноценного патча. Как только Citrix выпустит исправления, их необходимо будет установить в приоритетном порядке. Итог: активная эксплуатация неисправленных zero-day в Citrix NetScaler создаёт серьёзный риск для организаций с открытым наружу доступом к этим устройствам. До выхода патчей ключевыми мерами остаются изоляция уязвимых систем и усиленный мониторинг.

Источник: The Hacker News