An suidheachadh èiginn shìorraidh: Nuair a thig “Deatamach” gu bhith na fhuaim geal
Nam biodh a’ bhuidheann agad fhathast a’ ruith Citrix NetScaler ADCs no Gateways an tuiteam mu dheireadh, cha robh thu dìreach a’ gabhail cunnart; bha thu gu gnìomhach a’ toirt cuireadh do mhòr-thubaist. Cha b’ e eacarsaich teòiridheach ann an riaghladh cunnairt a bh’ ann an rabhadh èiginneach CISA airson an latha neoni èiginneach, CVE-2023-4966, ris an canar fad is farsaing mar “Citrix Bleed.” [1, 2]. B’ e rabhadh làidir a bh’ ann, dearbhadh dìreach gu robh luchd-ionnsaigh * mu thràth taobh a-staigh * lìonraidhean an fheadhainn a chuir dàil air a bhith a’ glacadh. Tha an 27 Dàmhair, 2023, an ceann-latha airson buidhnean feadarail a chuir an sàs, air òrdachadh le Stiùireadh Èiginn CISA 23-02, air tighinn agus air falbh [3]. Nam biodh dùbhlain mu choinneimh buidhnean feadarail, le na goireasan susbainteach aca agus sgiobaidhean tèarainteachd sònraichte, a’ coileanadh a leithid de thargaidean, tha e a’ nochdadh cuideam mòr air a h-uile duine eile.
Chan eil seo dìreach mu dheidhinn aon bhiast, olc. Tha seo mu dheidhinn fàilligeadh siostamach gus grèim fhaighinn air tromachd “bun-structar èiginneach” san aois dhidseatach. Tha innealan NetScaler co-ionann didseatach ri prìomh dhoras an togalaich agad, an àite-seic tèarainteachd, agus an siostam HVAC uile air an roiligeadh a-steach do aon. Bidh iad nan suidhe aig an iomall, a’ làimhseachadh dearbhadh, cothromachadh luchdan, agus riaghladh trafaic. Chan e dìreach briseadh a th’ ann an RCE (Coileanadh Còd Iomallach) air inneal mar sin; tha e na làn ghabhail thairis air an t-siostam, prìomh iuchair air a thoirt gu dìreach do nàmhaid. Tha sinn a’ bruidhinn mun t-seòrsa ruigsinneachd a leigeas le luchd-ionnsaigh pivot gun oidhirp a-steach do lìonraidhean a-staigh, cuir a-mach dàta mothachail, no cleachdadh ransomware le mionaideachd lannsaireachd. Leis gun deach CVE-2023-4966 * a chleachdadh gu gnìomhach *, a tha a-nis air a ghabhail a-steach ann an catalog KEV CISA, a’ ciallachadh gu bheil an uinneag airson dìon for-ghnìomhach dùinte gu sgiobalta [1]. Cha robh buidhnean a' cur casg air ionnsaigh tuilleadh; bha iad a’ lasachadh tachartas leantainneach.
Am brabhsair mar an iomall ùr: cearcall so-leòntachd gun chrìoch Chrome
Agus dìreach nuair a bha thu a’ smaoineachadh gur e iomall an lìonra agad an aon rud a bha fo shèist, bidh Google gu cunbhalach ag ainmeachadh spreadhadh eile: a’ gabhail brath gu gnìomhach air làithean neoni ann an Chrome. Mar eisimpleir, bha CVE-2024-4947, locht mì-chinnteach de sheòrsa V8, dìreach mar aon de ghrunn so-leòntachd a chaidh a chleachdadh gu gnìomhach * am-bliadhna * [4]. Chan e fluke a tha seo; tha e na phàtran cunbhalach. Tha gach bad ùr, gu tric an cois tagradh èiginneach airson “ùrachadh sa bhad,” a’ nochdadh feart co-rèiteachaidh eadar-dhealaichte, ach a cheart cho brùideil. Fhad ‘s a tha NetScaler a’ dìon nan geataichean, is e Chrome an t-àite inntrigidh uile-làthaireach ann am pòcaid gach neach-obrach, air a h-uile ionad-obrach, agus anns a h-uile deasg brìgheil stèidhichte air sgòthan.
Airson bliadhnaichean, tha sinn air cuideam a chuir air tèarainteachd endpoint, ach tha astar luath làithean neoni Chrome a ’toirt air faireachdainn gu bheil sinn an-còmhnaidh a’ strì ri cumail suas. Tha gach aon de na so-leòntachd sin a’ riochdachadh ionnsaigh dràibhidh a dh’ fhaodadh a bhith ann, làrach-lìn droch-rùnach, no lìonra sanasachd ann an cunnart a tha comasach air còd neo-riaghailteach a chuir an gnìomh air inneal neach-cleachdaidh. Às an sin, is e hop goirid a th’ ann gu goid creideas, gluasad taobhach, no cleachdadh malware nas ionnsaichte. Is e am “brobhsair lìn as mòr-chòrdte san t-saoghal” cuideachd, le leudachadh, an uachdar ionnsaigh as mòr-chòrdte san t-saoghal.
An t-iongnadh smachd: Carson a chumas sinn a’ tuiteam air ar cùlaibh
Mar sin, dè an snàithlean cumanta an seo? Chan e dìreach gu bheil iad sin nan so-leòntachd “èiginneach”. Is e seo an nàdar a tha dùil, cha mhòr deas-ghnàthach an lorg agus an cleachdadh. Tha sinn air ar glacadh ann an staid èiginn shìorraidh, far a bheil “gleusadh èiginneach” air a thighinn gu bhith mar am modh obrachaidh bunaiteach, seach eisgeachd.
Carson?
- ** Fiachan Iom-fhillteachd:** Tha an dà chuid NetScaler agus Chrome nam pìosan bathar-bog air leth iom-fhillte. Tha NetScaler, le na mòran fheartan agus aonachadh, a’ nochdadh uachdar ionnsaigh mòr. Tha Chrome, leis an einnsean JavaScript aige (V8), an einnsean tairgse, agus feartan cur-ris seasmhach, na thargaid gluasadach dha luchd-rannsachaidh tèarainteachd agus luchd-ionnsaigh le chèile. Bidh iom-fhillteachd a’ briodadh bhiteagan, agus tha biastagan, gu do-sheachanta, a’ leantainn gu so-leòntachd.
- Buannachd an Neach-ionnsaigh: Chan eil stàitean nàiseantach agus buidhnean eucoireach sòlaimte a’ feitheamh ri fios poblach. Tha iad gu gnìomhach a 'sealg airson na lochdan sin, gu tric le goireasan cudromach. Nuair a lorgar e, is e tiogaid òir a th’ ann an latha neoni, air a chleachdadh gu sàmhach gus am bi badan a’ toirt buaidh air an làmh. Leis gu bheilear gan cleachdadh * gu gnìomhach* a’ ciallachadh gu bheil an nàimhdean air thoiseach air an lùb mu thràth.
- Pairilis pacadh: Airson bun-structair èiginneach mar NetScaler, bidh gleusadh gu tric a’ ciallachadh ùine downt, planadh faiceallach, agus co-òrdanachadh thar ioma sgiobaidhean. Ann an iomairtean mòra, faodaidh seo a bhith na trom-laighe biùrocratach. Airson Chrome, tha e nas sìmplidh, ach tha e fhathast an urra ri gèilleadh luchd-cleachdaidh no riaghladh làidir meadhanaichte. Tha an inntinn “set it and forget it”, no nas miosa, an dòigh-obrach “gheibh sinn thuige an ath chairteal”, na reasabaidh airson co-rèiteachadh. Tha ceann-latha CISA airson NetScaler, a tha a-nis air a dhol seachad, na fhìor chuimhneachan air an inertia seo.
- ** Tèarainteachd mar Iar-bheachd:** A dh'aindeoin a h-uile reul-eòlas, tha tèarainteachd fhathast air fhaicinn mar ionad cosgais, bacadh air ùr-ghnàthachadh, no duilgheadas ri fhuasgladh * an dèidh * briseadh. Bidh an tasgadh ann an sealg chunnartan for-ghnìomhach, riaghladh làidir so-leòntachd, agus foghlam tèarainteachd leantainneach gu tric a’ fàs nas miosa an taca ris a’ chùis reactive às deidh tachartas.
Beyond the Patch: Gairm airson Ath-sgrùdadh Ro-innleachdail
Is e dìreach a bhith ag iarraidh air buidheann “gleusadh sa bhad” a bhith ag iarraidh air cuideigin a tha a’ strì ann an uisge domhainn “snàmh nas duilghe.” Tha e riatanach, ach chan eil e a 'dèiligeadh ris an duilgheadas bunaiteach. Feumaidh sinn gluasad bunaiteach san dòigh sa bheil sinn a’ dèiligeadh ri tèarainteachd.
- ** Gabh ris: ** Tha an seann mhodail dìon iomaill marbh. Thoir an aire gun deach do NetScaler * a bhriseadh. Gabh ris gun tèid brobhsairean Chrome an luchd-cleachdaidh agad * a chleachdadh *. Cuir an gnìomh sgaradh lìonra làidir, ruigsinneachd sochair as lugha, agus sgrùdadh leantainneach airson gnìomhachd neo-riaghailteach. Chan e sòghalachd a th' ann an sealg bagairt; tha e riatanach. Coimhead airson na comharran seòlta: ceanglaichean neo-àbhaisteach a-mach bhon NetScaler agad, cunntasan cleachdaiche ùra, coileanadh pròiseas ris nach robh dùil.
- ** Dèan fèin-ghluasad air a h-uile dad a tha comasach: ** Bu chòir riaghladh paiste airson puingean crìochnachaidh mar Chrome a bhith làn fèin-ghluasadach agus air a chuir an gnìomh. Airson bun-structar èiginneach leithid NetScaler, ged a tha e nas iom-fhillte, feumar am pròiseas a sgioblachadh, a dhearbhadh agus a ruith. Bu chòir ùine downt airson ùrachaidhean tèarainteachd a dhealbhadh agus gabhail ris mar chosgais airson gnìomhachas a dhèanamh, gun a bhith air a sheachnadh aig a h-uile cosgais.
- ** Dèan tasgadh ann an fulangas, chan e dìreach casg: ** Feumar deuchainn a dhèanamh air planaichean freagairt tachartas. An lorg thu briseadh gu sgiobalta? An urrainn dhut a chumail? An urrainn dhut faighinn air ais gun a bhith a’ pàigheadh airgead-fuadain? Is iad sin na ceistean a tha cudromach nuair a dh’ fhàillig casg gu do-sheachanta.
- ** Iarrtas nas fheàrr bho luchd-reic: ** Fhad ‘s a tha Google a’ gleusadh, tha an àireamh de làithean neoni ann an Chrome a’ nochdadh gu bheil feum air lèirmheasan ailtireachd nas doimhne agus is dòcha prògram bounty bug a-staigh nas ionnsaigheach. Airson luchd-reic bun-structair èiginneach mar Citrix, bu chòir an dùil a bhith eadhon nas àirde. Tha na toraidhean aca gu litearra mar chnàimh-droma gnìomhachd iomairt.
Is e an fhìrinn, chan e tachartasan iomallach a tha seo. Tha iad nan comharran de eag-shiostam didseatach fo ionnsaigh leantainneach, sòlaimte. Leanaidh na rabhaidhean “èiginneach” a’ tighinn. Chan e a’ cheist * an tèid * a’ bhuidheann agad a chuimseachadh, ach cuin, agus co-dhiù a tha thu air gluasad nas fhaide na an scramble reactive gus dìon a tha dha-rìribh tapaidh a thogail. Mura tug an ceann-latha seachad CISA airson NetScaler spionnadh don ro-innleachd tèarainteachd agad, tha an t-àm ann ath-mheasadh mòr.
Stòran
[1] Catalog So-leòntachd a tha aithnichte aig CISA - https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Cleasaichean Cunnart a’ gabhail brath air Citrix NetScaler ADC agus Citrix NetScaler Gateway So-leòntachd (CVE-2023-4966) - https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-c-netscaler-vulner-scaler [3] Stiùireadh Èiginn 23-02: Lùghdaich Citrix NetScaler ADC agus So-leòntachd Gateway - https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Ùrachadh seanail seasmhach airson deasg (CVE-2024-4947) - https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Iris Tèarainteachd Geata Citrix NetScaler ADC agus Citrix NetScaler airson CVE-2023-4966 agus CVE-2023-4967 - https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967