Citrix דירגה 8.8 מתוך 10 חולשה ב-NetScaler ADC וב-NetScaler Gateway שמאפשרת לתוקף לא מזוהה לגרום למכשיר להחזיר לו תוכן של זיכרון פנימי. מה שמצמצם אותה, ומה שכדאי לבדוק ראשון, הוא התנאי שהיא תלויה בו: היא רלוונטית רק כשהמכשיר מוגדר כספק זהויות SAML. אין כרגע דיווח על ניצול שלה בשטח.
מה החולשה?
כשהמכשיר מקבל בקשה, הוא אמור לבדוק את אורך השדות שבתוכה לפני שהוא קורא אותם מהזיכרון. כאן הבדיקה חסרה, ולכן תוקף שמנסח בקשה שמצהירה על שדה ארוך יותר ממה שנשלח בפועל גורם למכשיר לקרוא גם את מה שיושב בזיכרון אחרי אותו שדה, ולהחזיר את זה בתשובה. ברשומה זה מסומן כ-CWE-125, קריאה מעבר לגבול הזיכרון.
הדירוג מפרק את הנזק לשלושה חלקים, ושווה להפריד ביניהם כי הם לא אומרים אותו דבר. הפגיעה בסודיות מסומנת גבוהה, וזה החלק המובן מאליו: מה שנקרא מהזיכרון מגיע לתוקף. הפגיעה בזמינות מסומנת גם היא גבוהה, כלומר לפי הניקוד אותה בקשה עלולה גם לשבש את תפקוד המכשיר ולא רק לדלוף ממנו מידע. הפגיעה בשלמות, לעומת זאת, מסומנת נמוכה, והיא ההבדל המעשי בין החולשה הזאת לחולשות שמאפשרות לתוקף לשנות נתונים על המכשיר.
לפי הדירוג התוקף לא צריך שם משתמש, לא צריך הרשאה כלשהי על המכשיר, ולא צריך שמישהו בצד השני ילחץ על משהו. בקשה מהרשת מספיקה.
מי מושפע?
החולשה נוגעת ל-NetScaler ADC ול-NetScaler Gateway, ורק כשהם מוגדרים בתפקיד של ספק זהויות SAML, כלומר כשהמכשיר עצמו הוא זה שמאמת את המשתמש ומנפיק לאפליקציות אחרות את האישור שהוא אומנם מי שהוא טוען שהוא. ארגון שמפעיל NetScaler רק לאיזון עומסים בין שרתים, או רק כשער גישה מרחוק, בלי התצורה הזאת, נמצא מחוץ לתחום החולשה.
רשימת הגרסאות כאן ארוכה מהרגיל כי היא חוצה שני ענפים. ב-NetScaler ADC מדובר בכל מה שלפני 13.1-37.272, בענף 13.1 בכל מה שלפני 13.1-63.18, בענף 14.1 בכל מה שלפני 14.1-72.61, וגם בגרסה 14.1-66.68 בפני עצמה. ב-NetScaler Gateway מדובר בענף 13.1 שלפני 13.1-63.18 ובענף 14.1 שלפני 14.1-72.61.
זה לא ציוד שנמצא בבית, ולכן הגולש הפרטי לא נדרש כאן לשום פעולה. בישראל NetScaler יושב בארגונים גדולים ובגופים ציבוריים, בדרך כלל בתפקיד של שער גישה מרחוק ושל איזון עומסים. אם הוא משמש אצלכם גם כספק זהויות היא שאלת תצורה, והתשובה שונה מארגון לארגון, ולכן זו בדיקה שצריך לעשות ולא הנחת מחדל שאפשר להסתמך עליה לשני הכיוונים.
האם מנוצלת בפועל?
לא ידוע על ניצול בשטח. החולשה אינה מופיעה בקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל, וזה המצב לפי הבדיקה האחרונה של הדף הזה.
שווה להחזיק את ההבחנה הזאת מדויקת: המשמעות היא שלא דווח על ניצול, לא שאין ניצול. NetScaler הוא מכשיר שחשוף כלפי האינטרנט לפי עצם תפקידו, וחולשות אחרות בו נכנסו לקטלוג הזה בעבר אחרי שהרשומה שלהן פורסמה, כך שהמצב כאן יכול להשתנות ולא כדאי להתייחס אליו כאל קבוע.
מה עושים?
הצעד הראשון הוא לא שדרוג אלא בדיקת תצורה. בדקו אם ה-NetScaler שלכם מוגדר כספק זהויות SAML. אם לא, החולשה הזאת לא נוגעת לכם, ואפשר לתעדף את העדכון בהתאם ולא כמשימת חירום.
אם כן, עדכנו לפי הענף שאתם נמצאים בו. בענף 14.1 היעד הוא 14.1-72.61, בענף 13.1 היעד הוא 13.1-63.18, ובכל מה שלפני ענף 13.1 היעד הוא 13.1-37.272. שימו לב במיוחד לגרסה 14.1-66.68: היא מופיעה ברשומה כגרסה מושפעת בפני עצמה, כך שמי שנמצא בה לא יכול להסיק מהמספר הגבוה שהוא מעודכן מספיק.
הגרסאות והוראות השדרוג נמצאות בהודעת האבטחה של Citrix.
ואם אתם מתחזקים כמה מכשירים, בדקו כל אחד מהם בנפרד. תצורת SAML נקבעת ברמת המכשיר, ולכן בהחלט ייתכן שרק חלק מהם בתחום החולשה, וזה משנה את סדר העבודה.