Onderzoekers melden grootschalig misbruik van kritiek NetScaler-lek
Onderzoekers melden grootschalig misbruik van een kritieke kwetsbaarheid in NetScaler ADC en NetScaler Gateway waardoor aanvallers toegang tot systemen kunnen krijgen. Volgens securitybedrijf Mandiant zijn onder andere overheidsinstanties en techbedrijven getroffen. Onder de aanvallers bevinden zich ook verschillende ransomwaregroepen.
NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt.
Via de kwetsbaarheid (CVE-2023-4966) kan een ongeauthenticeerde aanvaller toegang tot geheugen van het systeem krijgen en zo sessietokens van gebruikers stelen. Met deze tokens kan vervolgens toegang tot het systeem worden verkregen, zonder dat hiervoor nog inloggegevens of multifactorauthenticatie is vereist. Een aanvaller kan de gestolen session key opnieuw afspelen en zo toegang krijgen.
Eenmaal ingelogd verkennen de aanvallers zowel het aangevallen systemen als andere systemen in het netwerk van de organisatie, proberen ze verdere inloggegevens te stelen en zich via het remote desktop protocol (RDP) lateraal door het netwerk te bewegen. Mandiant stelt dat onderzoek naar misbruik van CVE-2023-4966 lastig is, omdat de webserver op het systeem geen requests of foutmeldingen naar het kwetsbare endpoint opslaat.
Citrix ontdekte de kwetsbaarheid zelf en kwam hiervoor op 10 oktober met een beveiligingsupdate. Volgens Mandiant maken aanvallers echter al sinds eind augustus misbruik van de kwetsbaarheid voor het aanvallen van organisaties. In eerste instantie ging het om beperkte aanvallen, maar sinds een week is er sprake van grootschalig misbruik, zegt beveiligingsonderzoeker Kevin Beaumont. Vorige week besloot Citrix organisaties op te roepen om de update meteen te installeren.
Mandiant laat weten dat zeker vier verschillende groepen bezig zijn om organisaties via de kwetsbaarheid aan te vallen. Beaumont spreekt over zeer veel groepen. "Je hebt eigenlijk een 1998-achtige kwetsbaarheid in je remote access oplossing. Het lijkt erop dat mensen sessietokens verzamelen alsof het Pokemon zijn", aldus de onderzoeker.
Slimme app devs houden daar rekening mee
U kunt alle actieve sessies afsluiten om zo nieuwe sessietokens te forcceren, dan moet je nog wel controleren of de oude sessietokens toch niet nog ergens worden opgeslagen.
Daarnaast kan je in je logs kijken naar de IP-adressen ná het lek bekend is geworden en deze naast de logs van bijv. je AD leggen van een paar weken/maanden terug. Als deze verschillen kan je dit verder uitzoeken om het uit te sluiten dat het een overgenomen sessie is.
Ik zou sowieso de eerste suggestie uitvoeren.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
