Критическая уязвимость в ПО Citrix позволяет проникнуть в сети десятков тысяч компаний

19 декабрь, 2019 - 14:45

Эксперты Positive Technologies обнаружили критическую уязвимость в Citrix Application Delivery Controller (NetScaler ADС) и Citrix Gateway (NetScaler Gateway). В случае ее эксплуатации злоумышленник получает прямой доступ в локальную сеть компании из интернета. Для проведения такой атаки не требуется доступ к каким-либо учетным записям, а значит, выполнить ее может любой внешний нарушитель.

В ходе мониторинга актуальных угроз (threat intelligence) эксперты Positive Technologies установили, что потенциально уязвимы не менее 80 тыс. компаний из 158 стран. В ТОП-5 по количеству таких организаций входят США (абсолютный лидер – более 38% всех уязвимых организаций расположены на их территории), Германия, Великобритания, Нидерланды, Австралия.

Выявленной уязвимости присвоен идентификатор CVE-2019-19781, официально вендор пока не присвоил ей уровень опасности по шкале CVSS, однако, по экспертной оценке специалистов Positive Technologies, данная уязвимость соответствует наивысшему, 10-му уровню опасности. Ей подвержены все поддерживаемые версии продукта и все поддерживаемые платформы, в том числе Citrix ADC и Citrix Gateway версии 13.0, Citrix ADC и NetScaler Gateway версии 12.1, Citrix ADC и NetScaler Gateway версии 12.0, Citrix ADC и NetScaler Gateway версии 11.1, а также Citrix NetScaler ADC и NetScaler Gateway версии 10.5. В зависимости от конкретной конфигурации, приложения Citrix могут использоваться для подключения к рабочим компьютерам и критически важным бизнес-системам (в том числе таких классов, как ERP). Практически во всех случаях приложения Citrix доступны на периметре сети компании, а значит, подвержены атакам в первую очередь. Данная уязвимость позволяет внешнему неавторизованному злоумышленнику не только получить доступ к опубликованным приложениям, но и проводить атаки с сервера Citrix на другие ресурсы внутренней сети атакуемой компании. Компания Citrix выпустила комплекс мер, направленных на компенсацию данной уязвимости, а также настаивает на незамедлительном обновлении всех уязвимых версий ПО до рекомендуемых.

Для блокировки возможной атаки компании могут использовать межсетевые экраны уровня приложения. Для этого систему следует перевести в режим блокировки опасных запросов для защиты в реальном времени. С учетом общего срока существования выявленной уязвимости (она актуальна с момента выхода первой уязвимой версии ПО, то есть с 2014 г.) актуальность приобретает и выявление возможных фактов эксплуатации данной уязвимости (и соответственно, компрометации инфраструктуры) в ретроспективе.