Te Huanga ohorere mo ake tonu atu: I te wa ka "Ahaehae" te haruru ma
Mena kei te whakahaere tonu to whakahaere i nga Citrix NetScaler ADCs, Gateways ranei i te takahanga whakamutunga, ehara koe i te tupono noa; i kaha koe ki te karanga i nga aitua. Ko te matohi ohorere a CISA mo te ra-kore tino nui, CVE-2023-4966, e mohiotia ana ko "Citrix Bleed," ehara i te mahi ariā mo te whakahaere morearea [1, 2]. He tino whakatupato, he whakapumautanga kei te *kei roto noa nga kaiwhaiwhai i nga whatunga o te hunga i whakaroa i te tarai. Ko te Oketopa 27, 2023, te wa kati mo nga tari a te kawanatanga ki te tarai, i whakahaua e CISA Emergency Directive 23-02, kua tae mai, kua ngaro [3]. Mena ko nga hinonga a te kawanatanga, me o raatau rauemi nui me o raatau roopu haumarutanga i whakatapua, ka pa ki nga wero ki te whakatutuki i nga whaainga penei, ka whakaatuhia te pehanga nui ki era atu.
Ehara tenei i te mea kotahi noa, he pepeke kino. E pa ana tenei ki te korenga o te punaha ki te hopu i te kaha o te "hanganga tino nui" i te ao mamati. Ko nga taputapu NetScaler te ahua mamati o te tomokanga matua o to whare, te waahi tirotiro haumaru, me te punaha HVAC kua huri katoa ki te kotahi. Ka noho ratou ki te paenga, ka whakahaere i te motuhēhēnga, te whakataurite kawenga, me te whakahaere waka. Ko te RCE (Whakatikanga Waehere Mamao) i runga i taua taputapu ehara i te takahi noa; he tino tango i te punaha, he matua matua ka tukuna tika ki te hoariri. Kei te korero matou mo te ahua o te urunga ka taea e te hunga whakaeke te pivote ngawari ki roto i nga whatunga o roto, te tango i nga raraunga tairongo, te tuku ransomware ranei me te tino tika. Ko te mea ko te CVE-2023-4966 i whakamahia kaha, kua mau ki roto i te raarangi KEV a CISA, ko te tikanga ka kati tere te matapihi mo te whakamarumaru kaha [1]. Kua kore nga whakahaere e aukati i te whakaekenga; i whakaitihia e ratou tetahi raruraru e haere tonu ana.
Ko te Pūtirotiro hei Paenga Hou: Ko te Huringa Whakaraerae Mutunga o Chrome
A, i to whakaaro ko to paenga whatunga anake te mea e whakapaea ana, ka panui tonu a Google i tetahi atu poma: he kaha te whakamahi i nga ra-kore i Chrome. Hei tauira, ko te CVE-2024-4947, he koha whakaraerae momo V8 tino nui, ko tetahi noa o nga whakaraeraetanga e kaha whakamahia ana i tenei tau [4]. Ehara tenei i te pohehe; he tauira rite tonu. Ko ia papaki hou, i te nuinga o te wa ka haere tahi me te tohe kia "whakahou tonu," e whakaatu ana i te rereke, engari he rite tonu te hianga, te vector o te taupatupatu. Ahakoa e tiaki ana a NetScaler i nga keeti, ko Chrome te waahi urunga puta noa i nga pukoro o ia kaimahi, i ia teihana mahi, i ia papamahi mariko-kapua.
He maha nga tau, kua whakanuia e matou te haumarutanga mutunga, engari ko te tere o te Chrome-kore-ra ka rite ki te tohe tonu matou ki te pupuri tonu. Ko ia o enei whakaraeraetanga e tohu ana i te whakaeke a te puku, i te paetukutuku kino, i te whatunga panui kua taupatupatuhia e kaha ana ki te whakahaere i nga waehere i runga i te miihini a te kaiwhakamahi. Mai i reira, he wa poto ki te tahae tahae, ki te taha taha, ki te whakangao ranei i nga mahi kino kino ake. Ko te "kaitirotiro paetukutuku rongonui rawa atu o te ao" ano, ma te toronga, te mata whakaeke rongonui o te ao.
Te Pohehe o te Mana: He aha tatou ka Hinga tonu ki muri
Na, he aha te kaupapa noa i konei? Ehara i te mea he "whakaraerae" noa enei. Koia te ahua matapae, tata kawa o to ratou kitenga me te whakamahi. Ka mau tatou i roto i te ahua ohorere tonu, i reira ko te "pataki tere" kua waiho hei aratau whakahaere taunoa, kaua ki te tuunga.
He aha?
- Tarewa Matatini: Ko NetScaler me Chrome he waahanga rorohiko tino uaua. Ko te NetScaler, me ona ahuatanga maha me ona whakaurunga, e whakaatu ana i te mata whakaeke nui. Ko Chrome, me tana miihini JavaScript (V8), miihini whakaputa, me nga taapiri taapiri tonu, he kaupapa neke mo nga kairangahau haumaru me nga kaiwhaiwhai. Ko te uaua ka whanau nga pepeha, me nga pepeha, kaore e kore, ka arahi ki nga whakaraeraetanga.
- Te Painga a te Kaihanga: Ko nga whenua-motu me nga roopu taihara maamaa e tatari ana mo nga korero a te iwi. Kei te kaha ratou ki te whai mo enei hapa, he maha nga rauemi nui. Ka kitea, he tiiti koura te ra-kore, ka whakamahia marie tae noa ki te tohe a te papaki i o raatau ringa. Ko te mea kei te whakamahia kaha te tikanga ko nga hoariri kei mua i te pihinga.
- Patching Paralysis: Mo nga hanganga tino nui penei i a NetScaler, he maha nga wa o te papaki, te whakamahere tupato, me te ruruku i nga roopu maha. I roto i nga umanga nui, ka taea e tenei te mahi he moemoea kino. Mo Chrome, he maamaa ake, engari kei te whakawhirinaki tonu ki te hanganga ture a te kaiwhakamahi, ki te whakahaeretanga tino pakari ranei. Ko te whakaaro "whakaturia ka wareware", he kino ake ranei, ko te huarahi "ka tae ki te hauwhiti e whai ake nei", he tohutaka mo te taupatupatu. Ko te wa mutunga CISA mo NetScaler, kua pahemo inaianei, he whakamaumahara nui mo tenei koretake.
- Te Haumarutanga hei Whakaaro Whaimuri: Ahakoa nga korero katoa, he maha tonu te kite i te haumarutanga hei pokapu utu, he aukati ki nga mahi hou, he raru ranei hei whakatau i muri i te pakaruhanga. Ko te whakangao ki te hopu whakaraerae riri, te whakahaere whakaraeraetanga pakari, me te maatauranga haumaru tonu he maha nga wa ka pahemo ki te whakatauritea ki te ngangau tauhohenga i muri mai i te aitua.
I tua atu i te Papaki: He Karanga mo te Whakatikatika Rautaki
Ko te korero noa ki tetahi whakahaere kia "paki tonu" he rite ki te korero ki tetahi e tohe ana ki te wai hohonu kia "kaha ake te kauhoe." E tika ana, engari kaore e aro ki te raru o raro. E hiahia ana matou ki te whakarereke i te ahua o te huarahi ki te haumaru.
- Whakaaro Whakatau: Kua mate te tauira parepare paenga tawhito. Whakaarohia to NetScaler *kua takahia. Whakaarohia nga kaitirotiro Chrome a o kaiwhakamahi * ka * ka whakamahia. Whakatinanahia te wehenga whatunga pakari, iti rawa te urunga, me te aro turuki tonu mo nga mahi koretake. Ehara i te mea papai te hopu whakamataku; he mea tika. Rapua nga tohu ngawari: nga hononga ki waho rereke mai i to NetScaler, nga kaute kaiwhakamahi hou, nga mahi ohorere.
- Whakaaunoa Nga Mea Ka Taea: Ko te whakahaere papaki mo nga tohu mutunga penei i a Chrome me tino aunoa me te whakamana. Mo nga hanganga tino nui penei i a NetScaler, ahakoa he uaua ake, me whakamaarama, kia whakamatauria, kia whakaharatauhia te tukanga. Ko te wa whakaheke mo nga whakahoutanga haumarutanga me whakamahere me te whakaae hei utu mo te mahi pakihi, kaua e karohia i nga utu katoa.
- Haumi i roto i te Manahau, Ehara i te Aukati noa: Me whakamatau nga mahere urupare mai i nga aitua. Ka taea e koe te kite tere i te pakaru? Ka taea e koe te pupuri? Ka taea e koe te whakaora me te kore e utua he utu? Ko enei nga paatai he mea nui ka kore e kore te aukati.
- Me pai ake te tono mai i nga Kaihoko: I te wa e papaki ana a Google, ko te nui o nga ra kore-ra i roto i te Chrome e tohu ana he hiahia mo nga arotake hoahoanga hohonu ake, me te kaha ake o te kaupapa koha pepeha o roto. Mo nga kaihoko hanganga nui penei i a Citrix, me nui ake te tumanako. Ko a raatau hua te turanga o nga mahi umanga.
Ko te mea pono, ehara enei i nga maiki motuhake. He tohu enei o te puunaha rauwiringa kaiao matihiko i raro i te whakaekenga o nga wa katoa. Ka haere mai nga matohi "arohaehae". Ko te patai ehara i te mea mehemea ka whaaia to whakahaere, engari ahea, me te mea kua neke atu koe ki tua o te ngangau hohenga ki te hanga i tetahi whakamarumaru pono. Ki te kore te wa mutunga CISA mo NetScaler i whakakorikori i to rautaki haumarutanga, kua tae ki te waa mo te arotake ano.
Puna
[1] Putumōhio Whakaraeraetanga Whakaraerae E mohiotia ana e CISA — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Nga Kaihanga Whakawehi e whakamahi ana i te Citrix NetScaler ADC me te Citrix NetScaler Gateway Whakaraeraetanga (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-vulnergateway-citrix-netscaler [3] Arata'iraa Ohotata 23-02: Whakaitihia te Citrix NetScaler ADC me te Whakaraeraetanga Gateway — https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Whakahoutanga Hongere Pumau mo te Papamahi (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC me Citrix NetScaler Gateway Panui Haumarutanga mo CVE-2023-4966 me CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967