Il 18 luglio Citrix ha pubblicato aggiornamenti urgenti per NetScaler ADC e NetScaler Gateway, i dispositivi che molte aziende usano come accesso remoto e bilanciatore di carico. La falla più grave, la CVE-2023-3519, ha gravità 9,8 su 10, permette di eseguire codice da remoto senza autenticazione ed è già sfruttata.
Sono vulnerabili gli apparati configurati come Gateway, cioè server virtuale VPN, proxy ICA, CVPN o proxy RDP, oppure come server virtuale AAA. Di fatto, quasi tutti quelli usati per l’accesso remoto. Le versioni corrette sono la 13.1-49.13 e la 13.0-91.13 o successive, più le versioni FIPS e NDcPP indicate nell’avviso. La 12.1 è fuori supporto e non riceve correzioni: va sostituita. Lo stesso aggiornamento chiude altre due falle, tra cui una che permette di ottenere i privilegi di root.
L’agenzia statunitense per la cybersicurezza ha descritto un attacco avvenuto a giugno contro un’organizzazione di infrastrutture critiche. Gli attaccanti hanno sfruttato la falla per installare una web shell, raccogliere informazioni su Active Directory e tentare di muoversi nella rete. Non ci sono riusciti: la segmentazione ha impedito all’apparato di raggiungere i controller di dominio. Chi fossero, non è stato detto.
Il dettaglio che ha salvato la vittima
Vale la pena soffermarsi su quell’ultimo punto. L’attacco è riuscito, la web shell è stata installata, eppure il danno si è fermato lì perché un dispositivo esposto su Internet non poteva interrogare liberamente la rete interna. Nessuna patch avrebbe potuto proteggere quell’organizzazione a giugno, quando la falla era ancora sconosciuta. La segmentazione sì.
Aggiorna subito ogni NetScaler a una versione corretta e sostituisci gli apparati fuori supporto. Poi cerca file creati di recente nelle cartelle web dell’apparato, come file .php inattesi, e processi anomali. Controlla nei log le connessioni insolite dall’apparato verso la rete interna e verso Active Directory. Se trovi segni di compromissione, l’aggiornamento non basta: ricostruisci l’apparato e cambia le credenziali che usa.
Infine guarda la tua rete con gli occhi di chi ha appena preso il controllo del gateway. Da lì, che cosa può raggiungere?
