Citrix Bleed (CVE-2023-4966): украденные сессии в обход паролей и MFA

Публично раскрыта: 10 октября 2023

NetScaler ADC и NetScaler Gateway (бывший Citrix ADC) широко используются для удалённого доступа. 10 октября 2023 года Citrix выпустил исправление уязвимости, через которую утекало содержимое памяти, включая токены сессий вошедших пользователей. С таким токеном злоумышленник мог перехватить сессию без пароля и без MFA. Группировки шифровальщиков массово её использовали.

Почему одного обновления было мало

Токены, украденные до обновления, оставались действительными. Организации, которые только установили патч, всё ещё могли быть доступны через перехваченные сессии. Citrix рекомендовал после обновления завершить все активные и постоянные сессии.

Как защитить шлюзы удалённого доступа

1. Обновляйте VPN-шлюзы и шлюзы удалённого доступа в экстренном порядке — за часы или дни.
2. После исправления уязвимости, связанной с сессиями, завершите все существующие сессии и заставьте пользователей войти заново.
3. Заменяйте устройства с версиями, снятыми с поддержки.
4. Отслеживайте сессии из необычных стран и IP-адресов, а также использование одной сессии с нескольких IP.
5. Храните журналы удалённого доступа централизованно, чтобы их нельзя было удалить с устройства.

MFA защищает вход. После входа ключом становится токен сессии — защищайте и его.

Источники: Citrix bulletin CTX579459, CISA advisory AA23-325A, NVD CVE-2023-4966.

Нужна помощь? Свяжитесь с CySec — первая консультация бесплатно.

Все статьи