Leveranciers zoals Citrix moeten veiligere appliances maken, aangezien het uitbrengen van patch na patch voor veel organisaties niet houdbaar is, zo stelt beveiligingsexpert Kevin Beaumont. De afgelopen weken wordt bij ransomware-aanvallen gebruikgemaakt van een kritieke kwetsbaarheid in Citrix NetScaler ADC en NetScaler Gateway.

NetScaler ADC is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt.

Via de kwetsbaarheid (CVE-2023-4966) kan een ongeauthenticeerde aanvaller toegang tot geheugen van het systeem krijgen en zo sessietokens van gebruikers stelen. Met deze tokens kan vervolgens toegang tot het systeem worden verkregen, zonder dat hiervoor nog inloggegevens of multifactorauthenticatie is vereist. Een aanvaller kan de gestolen session key opnieuw afspelen en zo toegang krijgen.

Eenmaal ingelogd verkennen de aanvallers zowel het aangevallen systemen als andere systemen in het netwerk van de organisatie. Volgens Beaumont blijkt uit een scan via zoekmachine Shodan dat veel van de slachtoffers van de Lockbit-ransomware een kwetsbaar NetScaler-apparaat in hun netwerk hadden staan. "Ken je risicovolle producten zoals Lockbit dat doet. Je moet zoiets als de Citrix-kwetsbaarheid binnen 24 uur patchen. Als dat niet kan is het goed mogelijk dat, vanwege het risico dat het vormt, niet het juiste product voor je organisatie is", stelt Beaumont.

Volgens de onderzoeker is de Citrix-kwetsbaarheid zeer eenvoudig te misbruiken en is een bijkomend probleem dat Citrix NetScaler de exploit request niet logt, waardoor organisaties niet kunnen zien dat ze zijn aangevallen. Beaumont noemt dit een 'productdefect' dat Citrix moet verhelpen. "Leveranciers zoals Citrix moeten een duidelijke verklaring geven voor het beveiligen van hun producten, aangezien het uitbrengen van patch, na patch, na patch voor veel organisaties niet houdbaar is, of klanten zouden met hun portemonnee voor meer bewezen oplossingen moeten stemmen", merkt Beaumont op.

De onderzoeker claimt dat veel leveranciers appliances en andere apparaten leveren met beveiligingsstandaarden die slechter zijn dan toen hij eind jaren 1990 begon, maar tegelijkertijd zichzelf voordoen als de expert. "Marketing is zeer verslavend." Afsluitend stelt Beaumont dat overheden moeten stoppen met het betalen van losgeld en leveranciers veiligere producten moeten maken, of hier door overheden toe gedwongen worden.