Il 17 dicembre Citrix ha annunciato la CVE-2019-19781, una vulnerabilità critica in Citrix ADC e Citrix Gateway, i prodotti un tempo chiamati NetScaler. Permette a un attaccante senza alcuna credenziale di eseguire codice sull’apparato. Una patch, per ora, non c’è.
Il 23 dicembre la società che ha scoperto la falla ha pubblicato i numeri: almeno 80.000 aziende in 158 Paesi sono potenzialmente esposte. Gli Stati Uniti valgono da soli oltre il 38% dei casi, seguiti da Regno Unito, Germania, Paesi Bassi e Australia. Secondo i ricercatori il difetto esiste dalle versioni del 2014.
Questi apparati stanno sul confine tra Internet e la rete aziendale: sono la porta d’ingresso del lavoro da remoto. Il difetto è un directory traversal: con richieste costruite ad arte si raggiungono aree che dovrebbero essere protette, fino a eseguire comandi. Chi controlla l’apparato, in molti casi, ha la strada spianata verso la rete interna.
Sono colpite tutte le build supportate, su tutte le piattaforme: le versioni 13.0, 12.1, 12.0, 11.1 e 10.5, sia di Citrix ADC sia di Citrix e NetScaler Gateway.
In attesa del firmware c’è solo la mitigazione
Citrix ha pubblicato una procedura (articolo CTX267679) che modifica la configurazione per bloccare le richieste malevole, e raccomanda di applicarla subito. Vale anche per le istanze incluse nei dispositivi SD-WAN WANOP, che è facile dimenticare. Dopo averla applicata, verifica che sia attiva davvero.
Il primo lavoro è sapere cosa hai: elenca gli apparati Citrix esposti su Internet, compresi quelli gestiti per conto tuo da fornitori esterni. Poi controlla i log alla ricerca di richieste verso percorsi con /../ o verso la cartella /vpns/. Visto che la falla risale al 2014, chi gestisce questi sistemi da anni farebbe bene a chiedersi se qualcuno non ne abbia già approfittato in passato. Iscriviti anche agli avvisi di sicurezza di Citrix, per sapere subito quando uscirà il firmware correttivo.
Le feste sono il periodo preferito dagli attaccanti: reparti IT ridotti, reazioni lente, telefoni spenti. Un buon motivo per non lasciare questa porta socchiusa fino a gennaio.
