Beveiligingsexpert hekelt Citrix wegens recente ransomware-aanvallen
Leveranciers zoals Citrix moeten veiligere appliances maken, aangezien het uitbrengen van patch na patch voor veel organisaties niet houdbaar is, zo stelt beveiligingsexpert Kevin Beaumont. De afgelopen weken wordt bij ransomware-aanvallen gebruikgemaakt van een kritieke kwetsbaarheid in Citrix NetScaler ADC en NetScaler Gateway.
NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt.
Via de kwetsbaarheid (CVE-2023-4966) kan een ongeauthenticeerde aanvaller toegang tot geheugen van het systeem krijgen en zo sessietokens van gebruikers stelen. Met deze tokens kan vervolgens toegang tot het systeem worden verkregen, zonder dat hiervoor nog inloggegevens of multifactorauthenticatie is vereist. Een aanvaller kan de gestolen session key opnieuw afspelen en zo toegang krijgen.
Eenmaal ingelogd verkennen de aanvallers zowel het aangevallen systemen als andere systemen in het netwerk van de organisatie. Volgens Beaumont blijkt uit een scan via zoekmachine Shodan dat veel van de slachtoffers van de Lockbit-ransomware een kwetsbaar NetScaler-apparaat in hun netwerk hadden staan. "Ken je risicovolle producten zoals Lockbit dat doet. Je moet zoiets als de Citrix-kwetsbaarheid binnen 24 uur patchen. Als dat niet kan is het goed mogelijk dat, vanwege het risico dat het vormt, niet het juiste product voor je organisatie is", stelt Beaumont.
Volgens de onderzoeker is de Citrix-kwetsbaarheid zeer eenvoudig te misbruiken en is een bijkomend probleem dat Citrix NetScaler de exploit request niet logt, waardoor organisaties niet kunnen zien dat ze zijn aangevallen. Beaumont noemt dit een 'productdefect' dat Citrix moet verhelpen. "Leveranciers zoals Citrix moeten een duidelijke verklaring geven voor het beveiligen van hun producten, aangezien het uitbrengen van patch, na patch, na patch voor veel organisaties niet houdbaar is, of klanten zouden met hun portemonnee voor meer bewezen oplossingen moeten stemmen", merkt Beaumont op.
De onderzoeker claimt dat veel leveranciers appliances en andere apparaten leveren met beveiligingsstandaarden die slechter zijn dan toen hij eind jaren 1990 begon, maar tegelijkertijd zichzelf voordoen als de expert. "Marketing is zeer verslavend." Afsluitend stelt Beaumont dat overheden moeten stoppen met het betalen van losgeld en leveranciers veiligere producten moeten maken, of hier door overheden toe gedwongen worden.
Lijkt Citrix wel zo lek als een mandje. Bijzonder want voor januari 2020 hoorde bijna nooit over Citrix lekken. Dat is ook een van de redenen waarom het zoveel gebruikt wordt.
Lijkt Citrix wel zo lek als een mandje. Bijzonder want voor januari 2020 hoorde bijna nooit over Citrix lekken. Dat is ook een van de redenen waarom het zoveel gebruikt wordt.
Dit is vooral opgekomen met het toegenomen thuiswerken.
Wat ik nooit snap is waarom een kapitaalkrachtig groot bedrijf niet intern de boel eens goed gaat auditen als er zoveel lekken in een product blijken te zitten...
Lijkt Citrix wel zo lek als een mandje. Bijzonder want voor januari 2020 hoorde bijna nooit over Citrix lekken. Dat is ook een van de redenen waarom het zoveel gebruikt wordt.
Dit is vooral opgekomen met het toegenomen thuiswerken.
Wat ik nooit snap is waarom een kapitaalkrachtig groot bedrijf niet intern de boel eens goed gaat auditen als er zoveel lekken in een product blijken te zitten...
Soms is het een gevolg van gebruikte software die onderliggend is en weet je van te voren niet dat het lek er is.
Dus lekken zoeken levert wel zeker wat op, maar er blijft altijd een gebied wat je niet weet.
Soms is het een gevolg van gebruikte software die onderliggend is en weet je van te voren niet dat het lek er is.
Dus lekken zoeken levert wel zeker wat op, maar er blijft altijd een gebied wat je niet weet.
Die gateway is gewoon een SSL VPN appliance. Je moet authenticeren en uiteindelijk wordt er een VPN tussen jouw computer en het LAN waar de Citrix servers op zitten opgebouwd.
De meeste van hun lekken zijn parse fouten in URL's (path traversal en dergelijke).
Dat is vast vooral eigen code. En het onderliggende platform is Linux dus daar moeten we hier niet teveel twijfels over hebben.
Soms is het een gevolg van gebruikte software die onderliggend is en weet je van te voren niet dat het lek er is.
Dus lekken zoeken levert wel zeker wat op, maar er blijft altijd een gebied wat je niet weet.
Die gateway is gewoon een SSL VPN appliance. Je moet authenticeren en uiteindelijk wordt er een VPN tussen jouw computer en het LAN waar de Citrix servers op zitten opgebouwd.
De meeste van hun lekken zijn parse fouten in URL's (path traversal en dergelijke).
Dat is vast vooral eigen code. En het onderliggende platform is Linux dus daar moeten we hier niet teveel twijfels over hebben.
Soms is het een gevolg van gebruikte software die onderliggend is en weet je van te voren niet dat het lek er is.
Dus lekken zoeken levert wel zeker wat op, maar er blijft altijd een gebied wat je niet weet.
Die gateway is gewoon een SSL VPN appliance. Je moet authenticeren en uiteindelijk wordt er een VPN tussen jouw computer en het LAN waar de Citrix servers op zitten opgebouwd.
De meeste van hun lekken zijn parse fouten in URL's (path traversal en dergelijke).
Dat is vast vooral eigen code. En het onderliggende platform is Linux dus daar moeten we hier niet teveel twijfels over hebben.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
