image

Onderzoekers melden grootschalig misbruik van kritiek NetScaler-lek

donderdag 2 november 2023, 12:08 door Redactie, 3 reacties

Onderzoekers melden grootschalig misbruik van een kritieke kwetsbaarheid in NetScaler ADC en NetScaler Gateway waardoor aanvallers toegang tot systemen kunnen krijgen. Volgens securitybedrijf Mandiant zijn onder andere overheidsinstanties en techbedrijven getroffen. Onder de aanvallers bevinden zich ook verschillende ransomwaregroepen.

NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt.

Via de kwetsbaarheid (CVE-2023-4966) kan een ongeauthenticeerde aanvaller toegang tot geheugen van het systeem krijgen en zo sessietokens van gebruikers stelen. Met deze tokens kan vervolgens toegang tot het systeem worden verkregen, zonder dat hiervoor nog inloggegevens of multifactorauthenticatie is vereist. Een aanvaller kan de gestolen session key opnieuw afspelen en zo toegang krijgen.

Eenmaal ingelogd verkennen de aanvallers zowel het aangevallen systemen als andere systemen in het netwerk van de organisatie, proberen ze verdere inloggegevens te stelen en zich via het remote desktop protocol (RDP) lateraal door het netwerk te bewegen. Mandiant stelt dat onderzoek naar misbruik van CVE-2023-4966 lastig is, omdat de webserver op het systeem geen requests of foutmeldingen naar het kwetsbare endpoint opslaat.

Citrix ontdekte de kwetsbaarheid zelf en kwam hiervoor op 10 oktober met een beveiligingsupdate. Volgens Mandiant maken aanvallers echter al sinds eind augustus misbruik van de kwetsbaarheid voor het aanvallen van organisaties. In eerste instantie ging het om beperkte aanvallen, maar sinds een week is er sprake van grootschalig misbruik, zegt beveiligingsonderzoeker Kevin Beaumont. Vorige week besloot Citrix organisaties op te roepen om de update meteen te installeren.

Mandiant laat weten dat zeker vier verschillende groepen bezig zijn om organisaties via de kwetsbaarheid aan te vallen. Beaumont spreekt over zeer veel groepen. "Je hebt eigenlijk een 1998-achtige kwetsbaarheid in je remote access oplossing. Het lijkt erop dat mensen sessietokens verzamelen alsof het Pokemon zijn", aldus de onderzoeker.

Reacties (3)
02-11-2023, 15:07 door Anoniem
Er zijn Androids zonder Google Framework.

Slimme app devs houden daar rekening mee
02-11-2023, 19:45 door Anoniem
Hoe controleert een sysbeheerder?
03-11-2023, 16:27 door Anoniem
Door Anoniem: Hoe controleert een sysbeheerder?

U kunt alle actieve sessies afsluiten om zo nieuwe sessietokens te forcceren, dan moet je nog wel controleren of de oude sessietokens toch niet nog ergens worden opgeslagen.

Daarnaast kan je in je logs kijken naar de IP-adressen ná het lek bekend is geworden en deze naast de logs van bijv. je AD leggen van een paar weken/maanden terug. Als deze verschillen kan je dit verder uitzoeken om het uit te sluiten dat het een overgenomen sessie is.

Ik zou sowieso de eerste suggestie uitvoeren.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.