Citrix soluciona una grave vulnerabilidad de seguridad en los servidores NetScaler

Citrix parece haber reparado silenciosamente una vulnerabilidad en su NetScaler Application Delivery Control (ADC) y sus dispositivos de puerta de enlace que permitían a atacantes remotos y no autenticados obtener información potencialmente confidencial de la memoria de los sistemas afectados.

La falla era casi idéntica, pero no tan grave, a «CitrixBleed» (CVE-2023-4966), una vulnerabilidad crítica de día cero en las mismas dos tecnologías que Citrix reveló el año pasado, según lo descubrieron investigadores de Bishop Fox y informó el error a Citrix en enero.

Como CitrixBleed, pero no tan severo

Los atacantes explotaron Sangrado de cítricos ampliamente a Implementar ransomwareRobar información y otros fines maliciosos. El Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) fue uno de muchos que instó a las organizaciones afectadas a actualizar rápidamente sus sistemas a versiones parcheadas de NetScaler, citando informes de ataques generalizados dirigidos a la vulnerabilidad. boeing y Comcast Xfinity estaban entre varias organizaciones grandes atacadas por los atacantes.

En cambio, el error es que El obispo Fox lo descubrió. en enero fue menos peligroso porque habría sido menos probable que los atacantes obtuvieran información valiosa de un sistema vulnerable. Aún así, la falla, en la versión 13.1-50.23 de NetScaler, dejó la puerta abierta para que un atacante interceptara ocasionalmente información confidencial, incluidos los cuerpos de solicitud HTTP, de la memoria de proceso de los dispositivos afectados, dijo Bishop Fox.

La compañía también dijo que Citrix confirmó la divulgación de la vulnerabilidad el 1 de febrero. Sin embargo, Citrix no asignó un identificador CVE a la vulnerabilidad porque el problema ya se había solucionado antes de su divulgación en la versión 13.1-51.15 de NetScaler, dijo Bishop Fox. No está claro si Citrix alguna vez reveló en privado la vulnerabilidad a los clientes o si la compañía incluso consideró el problema planteado por Bishop Fox como una vulnerabilidad. El propio obispo Fox dijo que el error aún no se había hecho público.

Citrix no respondió de inmediato a una solicitud de Dark Reading en busca de aclaraciones sobre cuándo y si la compañía reveló el error antes de corregirlo en la versión 13.1-51.15.

Problema de memoria fuera de límites

En un blog esta semana, Bishop Fox identificó la vulnerabilidad que descubrió como un problema de almacenamiento fuera de límites no autenticado, que son esencialmente errores que permiten a un atacante acceder a ubicaciones de almacenamiento más allá de los límites previstos de un programa. Bishop Fox dijo que sus investigadores explotaron la vulnerabilidad para capturar información confidencial, incluidos los cuerpos de solicitud HTTP, de la memoria de un dispositivo afectado. La publicación del blog dice: «Esto podría permitir a los atacantes obtener las credenciales enviadas por los usuarios que inician sesión en los dispositivos NetScaler ADC y Gateway o material criptográfico utilizado por el dispositivo».

Al igual que con CitrixBleed, la falla descubierta por Bishop Fox afectó a los componentes de NetScaler cuando se usaban para acceso remoto y como servidores de autenticación, autorización y auditoría (AAA). Específicamente, el proveedor de seguridad descubrió que la puerta de enlace y el servidor virtual AAA manejaban los encabezados de solicitud del host HTTP de manera insegura, que era la misma causa de CitrixBleed. El código de prueba de concepto de la empresa demostró cómo un atacante remoto podría explotar la vulnerabilidad para obtener información potencialmente útil para un ataque.

«Los empleados de Bishop Fox analizaron implementaciones vulnerables de Citrix y observaron casos en los que el almacenamiento expuesto contenía datos de solicitudes HTTP, que a veces incluían cuerpos de solicitud POST», señaló la compañía. Bishop Fox recomendó que las organizaciones que utilizan la versión afectada de NetScaler actualicen a la versión 13.1-51.15 o posterior.