Ny Fanjakana Hamehana Mandrakizay: Rehefa Lasa Fotsifotsy ny "Critique".
Raha mbola mampiasa Citrix NetScaler ADC na Gateways tsy voafehy ny fikambananao tamin'ny fararano lasa teo, dia tsy nanao risika fotsiny ianao; nazoto nanasa loza ianao. Ny fanairana maika CISA ho an'ny andro aotra mitsikera, CVE-2023-4966, fantatra amin'ny anarana hoe "Citrix Bleed", dia tsy fampiharana ara-teorika momba ny fitantanana risika [1, 2]. Fampitandremana mafy izany, fanamafisana mivantana fa efa tao anatin'ny tambajotran'ireo nanemotra ny fametahana ireo mpanafika. Ny 27 Oktobra 2023, fe-potoana ho an'ny masoivoho federaly hametaka, nodidian'ny CISA Emergency Directive 23-02, dia tonga ary lasa [3]. Raha niatrika fanamby hahatratrarana tanjona toy izany ireo sampan-draharaha federaly, miaraka amin'ny loharanon-karenany sy ekipan'ny fiarovana manokana, dia manasongadina ny fanerena goavana amin'ny olon-drehetra izany.
Tsy momba ny bibikely tokana sy ratsy ihany izany. Ity dia momba ny tsy fahombiazan'ny rafitra amin'ny fahazoana ny lanjan'ny "fotodrafitrasa manan-danja" amin'ny vanim-potoana nomerika. Ny kojakoja NetScaler dia mitovy nomerika amin'ny fidirana lehibe ao amin'ny tranonao, ny toeram-pisavana ary ny rafitra HVAC izay mitambatra ho iray. Mipetraka eo amin'ny perimeter izy ireo, mitantana ny fanamarinana, ny fifandanjana entana ary ny fitantanana ny fifamoivoizana. Ny RCE (Fampiharana Kaody Lavitra) amin'ny fitaovana toy izany dia tsy fanitsakitsahana fotsiny; fandraisan'anjaran'ny rafitra feno izany, fanalahidy master atolotra mivantana amin'ny fahavalo. Miresaka momba ny karazana fidirana ahafahan'ny mpanafika hivezivezy mora foana amin'ny tambajotra anatiny, mamoaka angon-drakitra saro-pady, na mametraka ransomware amin'ny fandidiana fandidiana. Ny zava-misy fa ny CVE-2023-4966 dia * nohararaotina am-pahavitrihana *, voarakitra ao amin'ny katalaogin'ny KEV an'ny CISA, dia midika fa nikatona haingana ny varavarankelin'ny fiarovana mavitrika [1]. Tsy nisakana fanafihana intsony ny fikambanana; izy ireo dia nanamaivana ny zava-nitranga iray.
Ny navigateur ho toy ny perimeter vaovao: ny tsingerin'ny vulnerability tsy misy fiafarana an'i Chrome
Ary rehefa noheverinao fa ny perimeter-n'ny tambazotranao ihany no misy fahirano, dia manambara baomba hafa tsy tapaka i Google: nanararaotra ny andro aotra tao amin'ny Chrome. Ohatra, ny CVE-2024-4947, lesoka mikorontana karazana V8, dia iray amin'ireo vulnerabilité maro nohararaotina nopetahana * tamin'ity taona ity* [4]. Tsy kisendrasendra izany; lamina tsy miovaova io. Ny patch vaovao tsirairay, izay matetika miaraka amin'ny fiangaviana maika mba "hanavao avy hatrany", dia manasongadina vector ny marimaritra iraisana hafa, nefa tsy misy dikany. Raha miambina ny vavahady ny NetScaler, Chrome no toerana idirana eny rehetra eny amin'ny paosin'ny mpiasa tsirairay, amin'ny toeram-piasana rehetra, ary amin'ny birao virtoaly rehetra mifototra amin'ny rahona.
Nandritra ny taona maro dia nanantitrantitra ny fiarovana amin'ny farany izahay, saingy ny hafainganam-pandehan'ny Chrome aotra andro dia mahatsapa ho sahirana hatrany izahay. Ny tsirairay amin'ireo vulnerability ireo dia maneho ny mety hisian'ny fanafihana amin'ny fiara, tranokala maloto, na tambajotran-doka simba afaka manatanteraka kaody tsy misy dikany amin'ny masinin'ny mpampiasa iray. Avy eo dia fisondrotana fohy mankany amin'ny halatra fahazoan-dàlana, hetsika an-tsisintany, na ny fametrahana malware be pitsiny kokoa. Ny "mpitety tranonkala malaza indrindra eran'izao tontolo izao" dia, amin'ny fanitarana, ny tontolon'ny fanafihana malaza indrindra eran-tany.
Ny illusion de contrôle: Nahoana isika no mihemotra hatrany
Inona àry no lohahevitra iraisana eto? Tsy vitan'ny hoe vulnerability "kritika" ireo. Izany no toetra azo vinaniana, saika fomba fanao amin'ny fahitana sy ny fitrandrahana azy ireo. Tafiditra ao anatin'ny hamehana maharitra mandrakizay isika, ka lasa fomba fiasa mahazatra ny "fampidirana maika" fa tsy fanavahana.
Nahoana?
- Sarobidy ny trosa: Na NetScaler na Chrome dia rindrambaiko sarotra be. NetScaler, miaraka amin'ireo endri-javatra sy fampifangaroana marobe, dia manolotra sehatra fanafihana midadasika. Chrome, miaraka amin'ny motera JavaScript (V8), motera famandrihana, ary fanampim-panampiana tsy tapaka, dia lasibatra mihetsika ho an'ny mpikaroka momba ny fiarovana sy ny mpanafika. Ny fahasarotana dia miteraka bibikely, ary ny bibikely, tsy azo ihodivirana, dia mitarika ho amin'ny vulnerability.
- Ny Tombon'ny Mpanafika: Tsy miandry ny fampahafantarana ampahibemaso ny firenena-pirenena sy ny vondrona mpanao heloka be vava. Mazoto mikaroka ireo lesoka ireo izy ireo, matetika miaraka amin'ny loharanon-karena lehibe. Raha vao hita, ny zero-day dia tapakila volamena, trandrahana mangina mandra-pahatongan'ny patch iray hanery ny tanany. Ny hoe voararaotina am-pahavitrihana ireo dia midika fa efa mialoha ny filaharana ny fahavalo.
- Patching Paralysis: Ho an'ny fotodrafitrasa manan-danja toa an'i NetScaler, ny patching dia matetika midika hoe fotoana fitsaharana, drafitra tsara ary fandrindrana amin'ny ekipa maro. Amin'ny orinasa lehibe dia mety ho nofy ratsy izany. Ho an'ny Chrome dia tsotra kokoa izany, saingy miankina amin'ny fanarahan'ny mpampiasa na ny fitantanana foibe matanjaka. Ny toe-tsaina "mametraha ary manadino azy", na ny ratsy kokoa, ny fomba fiasa "ho tonga amin'ny telovolana manaraka", dia fomba fanao amin'ny marimaritra iraisana. Ny fe-potoana farany amin'ny CISA ho an'ny NetScaler, izay efa lany, dia fampahatsiahivana tanteraka an'io inersia io.
- Ny fiarovana ho toy ny eritreritra: Na dia eo aza ny kabary rehetra, ny fiarovana dia mbola hita matetika loatra ho toy ny ivon-toeram-bola, sakana amin'ny fanavaozana, na olana tsy maintsy vahana *aorian'ny * fandikan-dalàna. Ny fampiasam-bola amin'ny fihazana fandrahonana mavitrika, ny fitantanana matanjaka ny vulnerable, ary ny fanabeazana momba ny fiarovana mitohy dia matetika tsy mitongilana raha ampitahaina amin'ny fifandonana mihetsiketsika taorian'ny zava-nitranga.
Mihoatra ny Patch: Antso ho amin'ny fanavaozana stratejika
Ny filazana tsotra fotsiny amin'ny fikambanana iray hoe "mametaka avy hatrany" dia toy ny milaza amin'ny olona sahirana ao anaty rano lalina mba "milomano mafy kokoa". Ilaina izany, saingy tsy mamaha ny olana fototra. Mila fiovana fototra amin'ny fomba fiasantsika momba ny fiarovana isika.
- Ataovy ny marimaritra iraisana: Efa maty ny maodely fiarovana perimeter taloha. Eritrereto hoe voahitsakitsaka * ny NetScaler-nao. Eritrereto hoe ho nohararaotina ny mpitety Chrome an'ireo mpampiasa anao. Ampiharo ny fizarana tambajotra matanjaka, ny fidirana amin'ny tombontsoa faran'izay kely, ary ny fanaraha-maso mitohy amin'ny hetsika tsy mety. Tsy rendrarendra ny fihazana fandrahonana; tena ilaina izany. Tadiavo ireo famantarana manjavozavo: fifandraisana ivelany tsy mahazatra avy amin'ny NetScaler-nao, kaonty mpampiasa vaovao, fanatanterahana dingana tsy ampoizina.
- Mandeha ho azy ny zavatra rehetra azo atao: Ny fitantanana patch ho an'ny teboka farany toa an'i Chrome dia tokony ho mandeha ho azy sy hampiharina tanteraka. Ho an'ny fotodrafitrasa manan-danja toa an'i NetScaler, na dia sarotra kokoa aza, dia mila fehezina, andrana ary averina ny dingana. Ny fe-potoana fitsaharana ho an'ny fanavaozana fiarovana dia tokony homanina sy ekena ho sandan'ny fanaovana raharaham-barotra, fa tsy misoroka amin'ny vidiny rehetra.
- Fampiasam-bola amin'ny Faharetana, fa tsy Fisorohana fotsiny: Mila andramana ny drafitry ny famaliana trangan-javatra. Afaka mamantatra haingana ve ianao fa misy fandikan-dalàna? Azonao atao ve izany? Afaka misitraka ve ianao nefa tsy mandoa vidim-panavotana? Ireo no fanontaniana manan-danja rehefa tsy mahomby ny fisorohana.
- Mangataka tsara kokoa amin'ny mpivarotra: Raha toa ka mametaka ny Google, ny habetsahan'ny aotra andro ao amin'ny Chrome dia manondro ny filana tsikera ara-javakanto lalindalina kokoa ary angamba ny programa famatsiam-bola ao anatiny mahery vaika kokoa. Ho an'ireo mpivarotra fotodrafitrasa manakiana toa an'i Citrix, tokony ho ambony kokoa ny andrasana. Ny vokatra azo avy amin'izy ireo no fototry ny asan'ny orinasa.
Ny zava-misy dia tsy tranga mitokana ireo. Izy ireo dia soritr'aretin'ny tontolo iainana nomerika ao anatin'ny fanafihana tsy tapaka sy be pitsiny. Ho avy hatrany ny fanairana "kritika". Ny fanontaniana dia tsy hoe raha ho lasibatra ny fikambananao, fa oviana, ary raha efa nihoatra ny fifandonana mihetsiketsika ianao mba hananganana fiarovan-tena matanjaka. Raha toa ka tsy namporisika ny paikadin'ny fiarovana ny CISA fe-potoana farany ho an'ny NetScaler, fotoana izao hanaovana fanombanana matotra.
Loharano
[1] Catalog vulnerabilities fantatra amin'ny CISA — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Mpilalao fandrahonana manararaotra ny Citrix NetScaler ADC sy ny Citrix NetScaler Gateway Vulnerability (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-vulnergate-advance [3] Torolàlana vonjy taitra 23-02: Manamaivana ny Citrix NetScaler ADC sy ny vulnerability Gateway — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Fanavaozana fantsona maharitra ho an'ny Desktop (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC sy Citrix NetScaler Gateway Security Bulletin ho an'ny CVE-2023-4966 sy CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967