Citrix Exploit – Sicherheitslücke bei Citrix
Was ist passiert?
In den ADC´s (ehemals NetScaler) wurde eine Lücke entdeckt, die es Angreifern erlaubt einfach auf den ADC zuzugreifen, Daten abzugreifen und Schadcode einzuschleusen. Beim Schadcode ist es möglich, dass dieser zunächst unbemerkt ruht und erst nach einer gewissen Zeit aktiv wird.
Darüber hinaus kann die Datenkommunikation mitgeschnitten werden und so der Zugriff auf Passwörter ermöglicht werden.
Zitat aus einem Beitrag des Mitteldeutschen Rundfunks:
„Es ist ein bisschen so, wie wenn jemand versucht, in ein Haus einzubrechen. Wenn ich das Fenster offen stehen lasse, dann habe ich schon mal ein erstes Einfallstor geliefert. Und durch den Exploit-Code kam dann die nächste Stufe der Bedrohung hinzu. Man hat also zusätzlich auch noch eine Anleitung an die Hand bekommen, wie man dieses gekippte Fenster ganz einfach aufmachen kann. Dann stehen die Einbrecher erstmal im Hausflur und haben natürlich noch keinen Safe aufgemacht, sind auch noch nicht im Nebengebäude und haben noch nicht die Garage leergeräumt. Aber von dort aus, wenn ich erst mal in diesen ersten Kreis eingedrungen bin, können sich professionelle Hacker Schritt für Schritt tiefer in Systeme weitergraben“
Wer ist gefährdet?
Alle User, die NetScaler, ADC, Citrix Gateways, SD-WAN WANOP, NetScaler Gateway im Einsatz haben.
Was ist zu tun?
Citrix hatte bereits Ende Dezember 2019 ein Notfallfix bereitgestellt, welches über die Kommandozeile eingegeben wird. Dies dient nur zur Abschwächung der Schwachstelle.
Wurde dieses vor dem 10.1. eingespielt, ist der nächste Schritt das Einspielen des bereitgestellten Patches. Bitte prüfen Sie die Versionsnummern. Hat man beispielsweise noch Version 11 laufen sollte man erst auf die 11.1 umstellen und dann das Patch einspielen.
Wurde bis 10.01. nichts unternommen, sind Umgebungen zu 100% kompromittiert, d.h. diese wurden angegriffen. In welcher Art, sprich ob sich nur Zugriff verschafft wurde oder bereits Schadcode hinterlegt wurde, ist schwer zu sagen. Das dafür veröffentlichte Prüftool von CITRIX bietet hier einen ein Anfang, jedoch wird damit das gut versteckte Eindringen durch geschulte Hacker nicht erkannt werden.
Unsere Empfehlung?
1. Festplatten über CITRIX Support austauschen lassen (nicht nur löschen)
2. Systeme neu aufsetzen und neue Passwörter für die CITRIX Systeme vergeben
3. Private Key und SSL Zertifikate neu vom Provider und den Zertifikatsstellen erstellen lassen und die alten ungültig machen
4. Über die IT Sicherheit (intern oder extern) Vulnerability Checks durchführen lassen
Gern stehen wir Ihnen beratend zur Seite. Bei Fragen können Sie sich gern an uns wenden.
