Citrix: preocupa al mundo tecnológico una grave vulnerabilidad

Otro Lunes, otra vulnerabilidad grave en este caso de Citrix, desde ayer existe un código público de explotación de prueba de concepto para CVE-2019-19781

Una vulnerabilidad en el equipo empresarial de Citrix que puede permitir que los piratas informáticos se apoderen de los dispositivos y accedan a las redes internas de las empresas.

La vulnerabilidad es tan grave como pocos imaginan y se ha considerado uno de los errores más peligrosos revelados en los últimos años.

Denominada Shitrix por analistas especializados, esta vulnerabilidad afecta a Citrix Application Delivery Controller (ADC), anteriormente conocido como NetScaler ADC, y Citrix Gateway, anteriormente conocido como NetScaler Gateway.

La vulnerabilidad es un error de recorrido que puede ser explotado en Internet por un atacante.

El atacante no tiene que proporcionar credenciales de autenticación para el dispositivo al iniciar un ataque. Todo lo que un atacante tiene que hacer es enviar una boobytrapped request al dispositivo vulnerable de Citrix, junto con el código de explotación que desean ejecutar en el dispositivo.

El error fue descubierto e informado a Citrix por Mikhail Klyuchnikov, investigador de la firma de seguridad del Reino Unido Positive Technologies.

Klyuchnikov dijo que en el momento en que encontró el error, había más de 80,000 organizaciones ejecutando instancias vulnerables de Citrix.

Todavía no hay parche casi un mes después

El 17 de diciembre, Citrix lanzó un aviso de seguridad para sus clientes, pero la compañía no lanzó un parche.

En cambio, Citrix publicó una página de soporte que detalla las mitigaciones en forma de ajustes de configuración.

Casi un mes después, Citrix aún no ha lanzado un parche, a pesar de la gravedad del error y su gran impacto.

Como analista me resulta escalofriante pensar el impacto que esta vulnerabilidad tiene en el Estado Argentino, no quisiera estar en los zapatos de ningún admin al que le han impuesto Citrix en la pasada administración.

Mientras tanto, los actores de amenazas han comenzado a descubrir cómo explotar el error, lo que muchos investigadores de seguridad dijeron que era trivial y que solo requería unas pocas líneas de código.

Los escaneos han estado ocurriendo durante semanas, pero los intentos de explotación también han comenzado durante al menos tres días, según varios expertos en seguridad y empresas de ciberseguridad que ejecutan servidores honeypot.

La gravedad del error y el claro peligro para los sistemas corporativos no pasaron desapercibidos.

En las últimas semanas, expertos en seguridad, funcionarios gubernamentales, agencias gubernamentales de ciberseguridad, equipos CERT y cualquier persona que comprenda la seguridad básica de la empresa han estado advirtiendo a las empresas que apliquen las mitigaciones de Citrix para evitar que los ataques exploten máquinas vulnerables hasta que Citrix finalmente se lance una solución permanente en forma de parche.

Código de prueba de concepto ampliamente disponible

Si bien los ataques han aumentado lentamente en intensidad en los últimos días, la comunidad de seguridad creía que las cosas no se irían de las manos, ya que los atacantes aún tendrían que encontrar una manera de explotar los sistemas Citrix vulnerables, sin una explotación pública.

Esto cambió ayer, el viernes por la noche, cuando un grupo de investigadores de seguridad que se autodenominaban Proyecto Cero India lanzó el primer código de explotación de prueba de concepto (PoC) para la vulnerabilidad CVE-2019-19781.

Unas horas más tarde, el equipo de TrustedSec siguió con su propia PoC

TrustedSec revela pormenores de la vulnerabilidad de Citrix

TrustedSec revela pormenores de la vulnerabilidad de Citrix

El equipo de TrustedSec había desarrollado su PoC a principios de esta semana, pero se negó a publicarlo porque sabía que publicar el código en Internet provocaría un aumento en los intentos de explotación, algo que no querían hacer.

“Solo estamos divulgando esto debido a que otros publicaron primero el código de explotación”, dijo TrustedSec en una descripción de su herramienta en GitHub.

“Hubiéramos esperado tener esto oculto por un tiempo más, mientras que los defensores tuvieron el tiempo apropiado para parchear sus sistemas”.

La empresa de seguridad espera que las empresas usen su herramienta para probar sus redes en busca de instancias vulnerables de Citrix y si configuraron la mitigación de Citrix correctamente.

Muchos responsables de sistemas corporativos, a solo 13 días de comenzado el año están comenzando a masajear su presupuesto para saltar a VMware y lograr mayor sustentabilidad de su perímetro.

 

 

Por Marcelo Lozano – General Publisher IT Connect Latam