Una vulnerabilidad crítica rastreada como CVE-2023-4966 en los dispositivos Citrix NetScaler ADC/Gateway ha sido explotada activamente como zero-day desde finales de agosto, anunciaron investigadores de seguridad.
El problema de seguridad es una revelación de información y recibió una solución la semana pasada. Permite a los atacantes acceder a secretos en dispositivos configurados como pasarelas de servidores virtuales de autenticación, autorización y contabilidad (AAA).
En un boletín de seguridad del 10 de octubre con pocos detalles técnicos, Citrix instó encarecidamente a los clientes a instalar sin demora la actualización disponible.
Un informe de Mandiant revelaba que había encontrado indicios de que CVE-2023-4966 estaba siendo explotado in the wild desde agosto para robar sesiones de autenticación y secuestrar cuentas.
"Mandiant ha identificado la explotación de día cero de esta vulnerabilidad en la naturaleza a partir de finales de agosto de 2023", dice la compañía de ciberseguridad.
"Una explotación exitosa podría resultar en la capacidad de secuestrar sesiones autenticadas existentes, y por lo tanto eludir la autenticación multifactor u otros requisitos de autenticación fuerte" - Mandiant
La empresa también advierte de que las sesiones secuestradas persisten incluso después de instalar la actualización de seguridad. Dependiendo de los permisos de la cuenta secuestrada, los atacantes pueden aprovechar el método para desplazarse lateralmente o violar más cuentas.
Los investigadores de seguridad observaron que CVE-2023-4966 estaba siendo explotado para acceder a infraestructuras pertenecientes a organizaciones gubernamentales y empresas tecnológicas.
Corrección y mitigación
Aparte de aplicar el parche de Citrix, Mandiant publicó un documento con recomendaciones adicionales de remediación para los administradores de NetScaler ADC/Gateway con las siguientes sugerencias:
- Restrinja las direcciones IP de entrada si no es posible aplicar parches inmediatamente.
- Finalice todas las sesiones después de la actualización y ejecute el comando de la CLI: clear lb persistentSessions <vServer>.
- Rote las credenciales de las identidades que acceden a los dispositivos vulnerables.
- Si se detecta actividad sospechosa, especialmente con la autenticación de factor único, rote un mayor número de credenciales.
- Si se detectan web shells o backdoors, reconstruya los dispositivos con la última imagen de fuente limpia.
- Si se restaura a partir de una copia de seguridad, asegúrese de que no haya puertas traseras en la configuración de la copia de seguridad.
- Limite la exposición a ataques externos restringiendo la entrada a IP de confianza.
Además, debe darse prioridad a la actualización de los aparatos a las siguientes versiones de firmware:
- NetScaler ADC y NetScaler Gateway 14.1-8.50 y versiones posteriores
- NetScaler ADC y NetScaler Gateway 13.1-49.15 y versiones posteriores de 13.1
- NetScaler ADC y NetScaler Gateway 13.0-92.19 y versiones posteriores de 13.0
- NetScaler ADC 13.1-FIPS 13.1-37.164 y versiones posteriores de 13.1-FIPS
- NetScaler ADC 12.1-FIPS 12.1-55.300 y versiones posteriores de 12.1-FIPS
- NetScaler ADC 12.1-NDcPP 12.1-55.300 y versiones posteriores de 12.1-NdcPP
Se trata del segundo fallo zero-day que Citrix corrige en sus productos este año. El anterior, identificado como CVE-2023-3519, fue explotado a principios de julio y corregido unas semanas más tarde.
Fuente: bleepingcomputer