Hlavní navigace

Postřehy z bezpečnosti: kritické zranitelnosti Citrix ADC a Citrix Gateway

2. 1. 2023
Doba čtení: 3 minuty

Sdílet

 Autor: Depositphotos
V dnešním díle Postřehů se podíváme na nezáplatované závažné zranitelnosti v produktech Citrix ADC a Gateway, údajný únik dat 400 milionů uživatelů Twitteru a další události posledního týdne roku 2022.

Většina Citrix ADC a Citrix Gateway stále obsahuje kritické zranitelnosti

V průběhu listopadu a prosince 2022 byly publikovány záplaty pro dvě vysoce závažné zranitelnosti v produktech Citrix Application Delivery Controller (ADC) a Citrix Gateway, s jejichž pomocí je možné získat neautorizovaný přístup ke zranitelným systémům, resp. dosáhnout spuštění libovolného kódu na nich.

Historicky byly obdobné zranitelnosti postihující uvedené technologie velmi brzy po odhalení využívány útočníky a nejinak tomu bylo i v tomto případě – resp. alespoň u závažnější z obou zranitelností (CVE-2022–27518), na jejíž aktivní využívání škodlivými aktéry upozornila paralelně s publikací záplaty CISA.

Jak však ukázaly výsledky analýzy publikované koncem prosince, většina postižených systémů stále ještě nebyla záplatována a lze tak předpokládat, že dopady výše zmíněných zranitelností budou citelné i v novém roce.

K prodeji byla nabídnuta data více než 400 milionů uživatelů Twitteru

Na fóru Breached byl v uplynulém týdnu nabídnut k prodeji balík údajně obsahující data více než 400 milionů uživatelů sítě Twitter. Data měla být získána v roce 2021 s pomocí scarpingu stejného API, s nímž byl spojen i dříve publikovaný únik dat 5,4 milionů uživatelů jmenované sítě. Zcizené údaje se tak omezují na jména, e-mailové adresy a telefonní čísla uživatelů a údaje o jejich účtech.

Prodejce stanovil cenu balíku na 200 000 dolarů při prodeji exkluzivně jedinému zájemci, nebo $60.000 při prodeji většího počtu kopií různým zájemcům. Přestože validitu celého balíku nelze jednoznačně ověřit, na základě publikovaných analýz se zdá, že minimálně část v něm obsažených dat odpovídá reálným účtům.

Zmínku zaslouží, že v rámci inzerátu, který prodejce publikoval, apeloval na Twitter a Elona Muska, aby se sami stali jedinými exkluzivními kupci dat a vyhnuli se tak potenciálním postihům v souvislosti s GDPR.

Publikovány záplaty pro zranitelnosti routerů NetGear

Společnost NetGear publikovala ve středu záplaty pro dvě zranitelnosti postihující její domácí/SMB routery. První z opravených zranitelností umožňuje vzdálenému útočníkovi blíže nespecifikovanou cestou způsobit na zařízení DoS stav.

Druhá zranitelnost zranitelnost je pak typu buffer overflow a společnost NetGear u ní explicitně uvedla, že je zneužitelná před autentizací. Lze tak předpokládat, že se týká autentizačního rozhraní routerů a její dopady tak potenciálně mohou být o něco závažnější než v případě první zmíněné zranitelnosti.

root_podpora

Přestože pro zneužití obou zranitelností je nezbytné, aby měl útočník možnost po síti přímo komunikovat se zranitelným zařízením, a u většiny domácích/SMB routerů lze předpokládat, že jejich autentizační a administrační rozhraní nebudou přímo dostupná z internetu, je urychlené záplatování obou zmíněných zranitelností zcela jistě na místě.

Další zajímavosti

Pro pobavení

It's taken me 20 years, but I've finally finished rebuilding all my software to use 33-bit signed ints.

It's taken me 20 years, but I've finally finished rebuilding all my software to use 33-bit signed ints.

Autor: Randall Munroe, podle licence: CC BY-NC 2.5

O seriálu

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a bezpečnostního týmu CESNET-CERTS sdružení CESNET, bezpečnostního týmu CDT-CERT provozovaného společností ČD Telematika a bezpečnostních specialistů Jana Kopřivy ze společnosti Nettles Consulting a Moniky Kutějové ze sdružení TheCyberValkyries. Více o seriálu…

Byl pro vás článek přínosný?

Autor článku

Jan Kopřiva je specialistou na kybernetickou bezpečnost s dlouhou praxí a širokými zkušenostmi. V současnosti působí jako bezpečnostní konzultant ve společnosti Nettles Consulting a také jako jeden z odborníků ve sdružení SANS Internet Storm Center.