CISA требует от федеральных агентств залатать уязвимости Citrix к среде

Американское Агентство по кибербезопасности и защите инфраструктуры (CISA) в минувшие выходные предписало федеральным ведомствам закрыть две критические уязвимости в устройствах Citrix NetScaler. Ошибки с идентификаторами CVE-2026-88771 и CVE-2026-88772 уже используются в реальных атаках.

Обновления Citrix выпустила спустя несколько дней после того, как национальные киберагентства, поставщики ИТ-решений и специалисты по безопасности начали в частном порядке связываться с клиентами и советовать им выключить уязвимые устройства. В частности, нидерландский центр NCSC-NL, по сообщениям, предупреждал организации о двух zero-day-уязвимостях NetScaler ещё до присвоения им CVE — они позволяли размещать шелл-код прямо в памяти.

Что позволяют уязвимости

Обе бреши дают неаутентифицированному злоумышленнику выполнить произвольный код удалённо. Первая затрагивает все конфигурации NetScaler ADC и Gateway по умолчанию, вторая требует включённого DTLS — а он, как отмечает Citrix, по умолчанию активен на виртуальных VPN-серверах. Помимо RCE, в зависимости от настроек возможны отказ в обслуживании, HTTP request smuggling, обход политик и предсказание начального номера TCP-последовательности.

Citrix опубликовала «общие индикаторы компрометации» через NetScaler Console, но честно предупредила, что их «криминалистическая ценность может быть ограниченной» и они способны не выявить реальный взлом. Компания советует привлекать опытных специалистов по расследованию инцидентов. Примечательно, что воскресный блог-пост с предупреждением снабжён мета-тегом noindex, чтобы поисковики его не индексировали.

Масштаб и сроки

Служба мониторинга Shadowserver насчитывает свыше 23 000 IP-адресов с признаками NetScaler, доступных из интернета: почти 22 000 устройств ADC и чуть более 1500 экземпляров Gateway. Сколько из них уже пропатчено, представляют собой ловушки или всё ещё уязвимы — неизвестно.

CISA внесла обе уязвимости в каталог Known Exploited Vulnerabilities и обязала гражданские федеральные органы защитить все уязвимые устройства до 30 сентября согласно директиве BOD 26-04. Агентство рекомендует по возможности проверить системы на признаки компрометации до установки обновлений, поскольку патчи могут стереть криминалистические следы. CERT-EU настоятельно посоветовал европейским учреждениям провести аналогичную оценку любых устройств, доступных из интернета.

Это уже не первый случай в этом году: в марте атаковали пару других уязвимостей NetScaler, а в начале сентября — обход аутентификации, закрытый в середине августа. С ноября 2021 года CISA отметила 26 активно эксплуатируемых уязвимостей Citrix, шесть из которых применялись группировками вымогателей.

Источник: Bleeping Computer