ʻO ke Aupuni Mau loa o ka ulia pōpilikia: Ke lilo ʻo "Critical" i ka walaʻau keʻokeʻo
Inā e holo mau ana kāu hui i nā Citrix NetScaler ADCs a i ʻole Gateways i ka hāʻule hope loa, ʻaʻole ʻoe e lawe wale i kahi pilikia; ua kono ikaika ʻoe i ka pōʻino. ʻO ka makaʻala wikiwiki a CISA no ka lā koʻikoʻi koʻikoʻi, CVE-2023-4966, i ʻike nui ʻia ʻo "Citrix Bleed," ʻaʻole ia he hoʻomaʻamaʻa theoretical i ka hoʻokele pilikia [1, 2]. He ʻōlelo ʻōlelo aʻoaʻo ia, he hōʻoia pololei ʻo ka poʻe hoʻouka ʻia aia i loko * i loko o nā pūnaewele o ka poʻe i hoʻopaneʻe i ka paʻi ʻana. ʻO ʻOkakopa 27, 2023, ka lā palena no nā keʻena federal e hoʻopaʻa, kauoha ʻia e CISA Emergency Directive 23-02, ua hele a hala [3]. Inā ʻo nā hui federal, me kā lākou mau waiwai nui a me nā hui palekana i hoʻolaʻa ʻia, i kū i nā pilikia e hālāwai ana i kēlā mau pahuhopu, e hōʻike ana i ke koʻikoʻi nui i nā mea ʻē aʻe.
ʻAʻole kēia e pili ana i hoʻokahi, ʻino ʻino. E pili ana kēia i ka hiki ʻole o ka ʻōnaehana ʻike i ka gravity o "infrastructure koʻikoʻi" i ka makahiki kikohoʻe. ʻO nā mea hana ʻo NetScaler ka like kikohoʻe o ka puka nui o kou hale, ka wahi nānā palekana, a me ka ʻōnaehana HVAC i ʻōwili ʻia i hoʻokahi. Noho lākou ma ka perimeter, mālama i ka hōʻoia ʻana, ka hoʻopaʻa ʻana i ka ukana, a me ka hoʻokele kaʻa. ʻO kahi RCE (Remote Code Execution) ma ia mea ʻaʻole he haki wale; ʻo ia ka lawe ʻana i ka ʻōnaehana piha, kahi kī kumu i hāʻawi pololei ʻia i kahi ʻenemi. Ke kamaʻilio nei mākou e pili ana i ke ʻano o ke komo ʻana e hiki ai i ka poʻe hoʻouka ke pivot me ka maʻalahi i loko o nā pūnaewele i loko, exfiltrate i ka ʻikepili koʻikoʻi, a i ʻole e kau i ka ransomware me ka pololei o ka hana. ʻO ka ʻoiaʻiʻo ʻo CVE-2023-4966 i hoʻohana ikaika ʻia, i kēia manawa i hoʻopaʻa ʻia i ka CISA's KEV catalog, ʻo ia hoʻi, ua pani koke ʻia ka puka makani no ka pale ʻana. ʻAʻole i pale hou nā hui i kahi hoʻouka kaua; ua hoʻohaʻahaʻa lākou i kahi hanana e mau nei.
ʻO ka Pūnaewele ma ke ʻano o ka ʻaoʻao hou: ʻO ka pōʻaiapili hoʻopau pau ʻole o Chrome
A i ka manawa āu i manaʻo ai ʻo kāu perimeter pūnaewele wale nō ka mea i hoʻopilikia ʻia, hoʻolaha pinepine ʻo Google i kahi pōkā hou: hoʻohana ikaika i nā lā ʻole ma Chrome. No ka laʻana, ʻo CVE-2024-4947, kahi hemahema ʻano huikau V8 koʻikoʻi, ʻo ia kekahi o nā mea nāwaliwali i hoʻohana ʻia i kēia makahiki * [4]. ʻAʻole kēia he puʻuwai; he kumu hoʻohālikelike. ʻO kēlā me kēia pākuʻi hou, i hele pinepine ʻia me ka noi wikiwiki e "hōʻano koke," e hōʻike ana i kahi ʻokoʻa like ʻole, akā hoʻopunipuni, vector of compromise. ʻOiai ke kiaʻi nei ʻo NetScaler i nā ʻīpuka, ʻo Chrome ka wahi e komo ai i loko o ka ʻeke o kēlā me kēia limahana, ma kēlā me kēia keʻena hana, a ma kēlā me kēia papa kuhikuhi honua.
No nā makahiki, ua koʻikoʻi mākou i ka palekana o ka hopena, akā ʻo ka wikiwiki o ka Chrome zero-lā e like me ka paʻakikī mau e hoʻomau. Ke hōʻike nei kēlā me kēia o kēia mau nāwaliwali i kahi hoʻouka kaua, kahi pūnaewele hoʻomāinoino, a i ʻole kahi pūnaewele hoʻolaha i hoʻopaʻa ʻia e hiki ke hoʻokō i nā code arbitrary ma ka mīkini o ka mea hoʻohana. Mai laila mai, he hop pōkole ia i ka ʻaihue hōʻoiaʻiʻo, ka neʻe ʻana i ka ʻaoʻao, a i ʻole ke kau ʻana o nā polokalamu polokalamu ʻoi aku ka maʻalahi. ʻO ka "pūnaewele pūnaewele kaulana loa o ka honua" ʻo ia hoʻi, ma ka hoʻonui ʻana, ka honua hoʻouka kaua kaulana loa.
ʻO ka Illusion of Control: No ke aha mākou e hāʻule mau ai i hope
No laila, he aha ka mea maʻamau ma ʻaneʻi? ʻAʻole ʻo ia wale nō nā mea "koʻikoʻi" nāwaliwali. 'O ia ke 'ano o ka 'ike 'ana a me ka ho'ohana 'ana. Loaʻa mākou i kahi kūlana hoʻomau mau o ka pilikia, kahi i lilo ai ka "patching wikiwiki" i ke ʻano hana paʻamau, ma mua o kahi ʻokoʻa.
No ke aha mai?
- ʻAi'ē Paʻakikī: ʻO NetScaler a me Chrome he mau ʻāpana paʻakikī o ka lako polokalamu. ʻO NetScaler, me kāna mau hiʻohiʻona he nui a me ka hoʻohui ʻana, e hōʻike ana i kahi ākea hoʻouka kaua. ʻO Chrome, me kāna ʻenekini JavaScript (V8), ʻenekini hoʻolilo, a me nā hoʻohui mau hiʻohiʻona, kahi pahuhopu neʻe no nā mea noiʻi palekana a me nā mea hoʻouka. Hoʻopuka ka paʻakikī i nā ʻōpala, a ʻo nā pōpoki, ʻaʻole hiki ke alakaʻi i nā nāwaliwali.
- Ka Pōmaikaʻi o ka Mea Hoʻouka: ʻAʻole kali nā mokuʻāina a me nā hui lawehala maʻalahi i ka hōʻike lehulehu. Ke ʻimi nei lākou i kēia mau hemahema, pinepine me nā kumu waiwai nui. I ka manawa i loaʻa ai, ʻo ka lā zero he tiketi gula, hoʻohana mālie a hiki i ka wā e hoʻopaʻa ai ka lima. ʻO ka ʻoiaʻiʻo o kēia mau mea * hoʻohana ikaika ʻia * ʻo ia ka poʻe ʻenemi ma mua o ka pihi.
- Patching Paralysis: No nā ʻōnaehana koʻikoʻi e like me NetScaler, ʻo ka hoʻopaʻa ʻana ʻo ia ka manawa hoʻohaʻahaʻa, ka hoʻolālā akahele, a me ka hoʻonohonoho ʻana i nā hui lehulehu. I nā ʻoihana nui, hiki i kēia ke lilo i mea pōʻino bureaucratic. No Chrome, ʻoi aku ka maʻalahi, akā ke hilinaʻi nei i ka hoʻokō ʻana o ka mea hoʻohana a i ʻole ka hoʻokele kikowaena paʻa. ʻO ka noʻonoʻo "hoʻonohonoho a hoʻopoina iā ia", a i ʻole ka ʻoi aku ka maikaʻi, ʻo ka "hiki iā mākou i ka hapaha aʻe", he mea ʻai no ka ʻae ʻana. ʻO ka palena manawa CISA no NetScaler, i hala i kēia manawa, he mea hoʻomanaʻo nui i kēia inertia.
- Security as a Afterthought: ʻOiai nā ʻōlelo a pau, ʻike pinepine ʻia ka palekana ma ke ʻano he kikowaena kumu kūʻai, ke keʻakeʻa i ka hana hou, a i ʻole he pilikia e hoʻoponopono ʻia *ma hope o ka haki ʻana. ʻO ka hoʻokomo ʻana i ka ʻimi hoʻoweliweli hoʻoweliweli, ka hoʻokele vulnerability paʻa, a me ka hoʻonaʻauao palekana hoʻomau pinepine ʻia i ka hoʻohālikelike ʻia me ka reactive scramble post-incident.
Ma waho aʻe o ka Patch: He kāhea no ka hoʻoponopono hou ʻana
ʻO ka haʻi wale ʻana i kahi hui e "paʻi koke" ua like ia me ka haʻi ʻana i kekahi e hakakā nei i loko o ka wai hohonu e "ʻauʻau ikaika." Pono ia, akā ʻaʻole ia e hoʻoponopono i ka pilikia kumu. Pono mākou i kahi hoʻololi koʻikoʻi i ke ʻano o kā mākou hoʻokokoke ʻana i ka palekana.
- Manaʻo Hoʻoholo: Ua make ke kumu hoʻohālike kahiko. E manaʻo ʻoe ua uhaki ʻia kāu NetScaler *. E manaʻo ʻoe e hoʻohana ʻia nā polokalamu kele Chrome o kāu mea hoʻohana. E hoʻokō i ka ʻāpana pūnaewele ikaika, ka liʻiliʻi loa o ka pono, a me ka nānā mau ʻana no ka hana anomali. ʻAʻole waiwai nui ka hahai holoholona; he mea pono. E ʻimi i nā hōʻailona maʻalahi: nā pilina ma waho maʻamau mai kāu NetScaler, nā moʻokāki mea hoʻohana hou, ka hoʻokō kaʻina hana ʻole.
- E hoʻokae i nā mea a pau e hiki ai: Pono e hoʻokō ʻia a hoʻokō ʻia ka hoʻokele patch no nā wahi hopena e like me Chrome. No nā ʻōnaehana koʻikoʻi e like me NetScaler, ʻoiai ʻoi aku ka paʻakikī, pono e hoʻoponopono ʻia ke kaʻina hana, hoʻāʻo a hoʻomaʻamaʻa. Pono e hoʻolālā a ʻae ʻia ka manawa haʻahaʻa no ka hoʻonui ʻana i ka palekana ma ke ʻano he kumu kūʻai no ka hana ʻana i ka ʻoihana, ʻaʻole e pale ʻia i nā koina āpau.
- Hoʻokomo i ka Resilience, ʻAʻole Kāohi wale: Pono e hoʻāʻo ʻia nā hoʻolālā pane ʻana i ke kaua. Hiki iā ʻoe ke ʻike koke i kahi haki? Hiki iā ʻoe ke hoʻopaʻa? Hiki iā ʻoe ke hoʻōla me ka ʻole o ka uku pānaʻi? ʻO kēia nā nīnau pili i ka wā e hiki ʻole ai ke pale ʻana.
- Koi ʻoi aku ka maikaʻi mai nā mea kūʻai aku: ʻOiai e hoʻopaʻa ana ʻo Google, ʻo ka nui o nā lā ʻole ma Chrome e hōʻike ana i ka pono no nā loiloi hoʻolālā hohonu a me kahi papahana ʻoi aku ka ikaika o ka bug bounty. No nā mea kūʻai waiwai koʻikoʻi e like me Citrix, ʻoi aku ka kiʻekiʻe o ka manaʻolana. ʻO kā lākou huahana ke kumu maoli o ka hana ʻoihana.
ʻO ka ʻoiaʻiʻo, ʻaʻole kēia mau hanana kaʻawale. He mau hōʻailona ia o kahi kaiaola kikohoʻe ma lalo o ka hoʻouka kaua maʻamau. E hele mau mai ana nā māka "koʻikoʻi". ʻAʻole ʻo ia ka nīnau inā e hoʻopaʻa ʻia kāu hui, akā * i ka manawa *, a inā ua neʻe ʻoe ma waho o ka scramble reactive e kūkulu i kahi pale kūpaʻa maoli. Inā ʻaʻole i galvanize ka hoʻolālā CISA i hala no NetScaler i kāu hoʻolālā palekana, ʻo ia ka manawa no ka loiloi hou ʻana.
Nā kumu
[1] CISA i ʻike ʻia i ka Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Nā mea hoʻoweliweli e hoʻohana ana iā Citrix NetScaler ADC a me Citrix NetScaler Gateway Vulnerability (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-vulnergateway-citrix-netscaler [3] Manaʻo ulia pōpilikia 23-02: E hoʻemi i ka Citrix NetScaler ADC a me Gateway Vulnerability - https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Hōʻano hou i ka Channel Stable no Desktop (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC a me Citrix NetScaler Gateway Security Bulletin no CVE-2023-4966 a me CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967