A ottobre Citrix ha corretto la CVE-2023-4966, una falla nei NetScaler ADC e Gateway configurati come gateway o server AAA. I ricercatori l’hanno ribattezzata Citrix Bleed, perché fa letteralmente sanguinare la memoria dell’apparato. A novembre è diventata l’arma preferita degli affiliati di LockBit.
Con una richiesta costruita ad arte, un attaccante ottiene porzioni di memoria che contengono i cookie di sessione degli utenti collegati. Con quei cookie apre una sessione già autenticata, senza conoscere la password e senza passare dal secondo fattore. L’autenticazione a più fattori, in questo caso, l’ha già fatta l’utente legittimo; l’attaccante si limita a usarne il risultato.
Il punto più insidioso è un altro: aggiornare non basta. Le sessioni rubate prima della correzione restano valide finché non vengono chiuse. Chi ha installato la patch e si è fermato lì potrebbe avere ancora un ospite in casa.
Il 21 novembre le agenzie statunitensi e australiane hanno pubblicato un avviso congiunto con i dettagli di un attacco di LockBit, costruito anche sulle informazioni condivise da Boeing, una delle vittime. Secondo diversi ricercatori, la stessa falla sarebbe stata usata anche contro la filiale americana di ICBC, la più grande banca cinese, che ha avuto bloccata per giorni parte delle operazioni sui titoli di Stato. A metà novembre risultavano ancora vulnerabili oltre 10.000 apparati esposti su Internet.
Dopo la patch, chiudi tutto
Aggiorna NetScaler ADC e Gateway alle versioni indicate da Citrix, per esempio la 14.1-8.50, la 13.1-49.15 o la 13.0-92.19 e successive, e sostituisci gli apparati fuori supporto. Subito dopo chiudi tutte le sessioni attive e persistenti con kill aaa session -all, kill icaconnection -all, kill rdp connection -all, kill pcoipConnection -all e clear lb persistentSessions.
Poi cerca nei log sessioni dello stesso utente da indirizzi IP diversi e accessi a orari insoliti. Se trovi tracce di sfruttamento, considera compromessa la rete intera e controlla strumenti di accesso remoto installati, account creati e movimenti verso i server interni. Per il futuro, sessioni VPN più brevi e una nuova autenticazione per le operazioni sensibili riducono il valore di un cookie rubato.
