Nekoliko dana posle zakrpe, Citrix NetScaler pod novim napadom
Nekoliko dana nakon krpljenja dva zero-day propusta u Citrix NetScaleru, krajem prošle nedelje počeli su da se sami restartuju i već zakrpljeni uređaji. Uzrok je novi zloupotrebljeni propust, CVE-2026-88779, za koji je Citrix 3. oktobra izdao hitne zakrpe. Da ponovimo, NetScaler stoji na ulazu u mrežu firme: preko njega zaposleni rade od kuće i prijavljuju se na interne kompanijske servise. Novi propust pogađa samo uređaje podešene za SAML, sistem jedinstvene prijave koji omogućava da jedan korisnički nalog otvara sve servise firme. Napadač šalje zahtev za prijavu sa specijalno prilagođenim korisničkim imenom, servis za prijavu pada, a uređaj se restartuje. Citrix kaže da napad samo obara uređaj i da nije video uticaj na podatke kupaca, ali ponovljeni napadi mogu da ga drže van funkcije duže vreme. Firma watchTowr, koja je propust prijavila zajedno sa Bishop Foxom, potvrđuje da on služi samo za obaranje servisa. Istraživač Kevin Beaumont ipak beleži da su u korisnička imena bile ubačene komande za preuzimanje programa, i da je na jednom od njegovih uređaja-mamaca takav program i pokrenut. Da li je u pitanju izvršavanje koda kroz ovaj propust, za sada nije potpuno jasno. Američka CISA dala je saveznim agencijama rok do 7. oktobra, a ovo je šesti NetScaler propust na njenom spisku zloupotrebljenih ove godine.
„Samo obaranje" zvuči blaže od provale, ali NetScaler nije bilo koji server. Kad on padne, zaposleni ne mogu da rade od kuće, a servisi iza njega ostaju nedostupni dok se uređaj ponovo ne podigne. watchTowr pretpostavlja da napadači uređaje ruše namerno, jer im to ubrzava zloupotrebu prvog propusta iz prošle nedelje, na uređajima koji još nisu zakrpljeni. Ko je zakrpio prošle nedelje i odahnuo, sada mora da krpi ponovo. Šest zloupotrebljenih propusta za devet meseci, od toga tri u poslednjih osam dana, menja i način na koji se o ovom uređaju razmišlja. Kod uređaja na ulazu u mrežu, krpljenje je postalo dežurstvo u tri smene, a ne posao preko vikenda.
- Ako NetScaler koristi SAML prijavu, podigni ga na verziju 14.1-73.41 ili 13.1-64.28, odnosno odgovarajuću FIPS verziju
- U konfiguraciji potraži „add authentication samlAction" ili „add authentication samlIdPProfile": samo tada je uređaj pogođen ovim propustom
- Pregledaj zapise o neplaniranim restartima i padovima servisa nsaaad od kraja septembra
- Pokreni Citrixovu skriptu za proveru kompromitacije, ali nalaze o procesima korisnika „nobody" proveri ručno, jer umeju da budu lažna uzbuna
- Ako zakrpe za dva propusta iz prošle nedelje još nisu primenjene, uradi to prvo