Le Tulaga Fa'avavau o Fa'alavelave Fa'afuase'i: Pe a Avea le "Tupu'utia" Pa'epa'e

Le Tulaga Fa'avavau o Fa'alavelave Fa'afuase'i: Pe a Avea le "Tupu'utia" Pa'epa'e

Afai o lo'o fa'agasolo pea lau fa'alapotopotoga Citrix NetScaler ADCs po'o Gateways i le tautoulu talu ai, e le na'o lou faia o se tulaga lamatia; sa e vala'auina fa'alavelave. O le mataala faʻanatinati a le CISA mo le taua o le zero-day, CVE-2023-4966, lautele lauiloa o le "Citrix Bleed," e le o se faʻataʻitaʻiga faʻapitoa i le puleaina o lamatiaga [1, 2]. O se lapataiga mataʻutia, o se faʻamaoniga tuusaʻo o tagata osofaʻi o loʻo i totonu * o fesoʻotaʻiga a i latou na tuai ona faʻapipiʻi. O le Oketopa 27, 2023, aso faʻagata mo ofisa feterale e faʻapipiʻi, faʻatonuina e le CISA Emergency Directive 23-02, ua oʻo mai ma alu ese [3]. Afai o faʻalapotopotoga a le feterale, ma a latou punaoa tele ma 'au saogalemu faʻapitoa, na feagai ma luʻitau e ausia ai ia faʻamoemoega, e faʻaalia ai le tele o le mamafa i isi tagata uma.

E le na'o se tasi, leaga bug. O le mea lea e uiga i le le mafai ona malamalama i le mamafa o "mea tetele taua" i le vaitau numera. NetScaler mea faigaluega o le numera tutusa o le faitotoa autu o lou fale, le nofoaga e siaki ai le puipuiga, ma le HVAC system ua ta'avale uma i le tasi. Latou te nonofo i le nofoaga, faʻatautaia le faʻamaoni, paleni o uta, ma le puleaina o feoaiga. O le RCE (Remote Code Execution) i luga o sea masini e le na'o se soli; ose fa'atonuga atoa, o se ki matua tu'u sa'o ile fili. O loʻo matou talanoa e uiga i le ituaiga o avanoa e mafai ai e le au osofaʻi ona faʻasolosolo faʻamalosi i totonu o fesoʻotaʻiga i totonu, aveese faʻamatalaga maʻaleʻale, poʻo le faʻapipiʻiina o ransomware i le taotoga saʻo. O le mea moni e faapea o le CVE-2023-4966 sa fa'aaogaina malosi, lea ua fa'amauina i le CISA's KEV catalog, o lona uiga o le fa'amalama mo le puipuiga fa'amalosi ua tapunia vave [1]. Ua le toe taofia e faalapotopotoga se osofaiga; sa latou fa'aitiitia se fa'alavelave fa'aauau.

O le Su'esu'ega o le Nofoaga Fou: Le Ta'amilosaga Fa'aletonu e Le Maua'i a Chrome

Ma o le taimi lava na e manatu ai o lau nofoaga fesoʻotaʻiga e na o le pau lea o le mea o loʻo faʻalavelaveina, e masani ona faʻasalalau e Google se isi pomu: faʻaaogaina ma le faʻaaogaina zero-aso i Chrome. Mo se faʻataʻitaʻiga, CVE-2024-4947, o se faʻalavelave faʻalavelave faʻalavelave V8, naʻo se tasi o le tele o faʻalavelave faʻaogaina ma le faʻaogaina *i lenei tausaga * [4]. E le o se mea sese lenei; o se mamanu faifaipea. O patch fou taitasi, e masani ona o faatasi ma le aioiga faanatinati ina ia "faafouina vave," o loʻo faʻamaonia ai se eseʻese, ae tutusa le taufaaleaga, vector o le fetuunaiga. A'o puipuia e le NetScaler faitoto'a, o le Chrome o le nofoaga e ulufale ai i totonu o taga a tagata faigaluega uma, i luga o fale faigaluega uma, ma i luga o le komipiuta fa'akomepiuta uma.

Mo le tele o tausaga, ua matou faʻamamafaina le saogalemu pito i tua, ae o le saoasaoa o le Chrome zero-days e lagona ai o loʻo matou tauivi pea e faʻaauau. O nei fa'aletonu ta'itasi o lo'o fa'atusalia ai se osofa'iga fa'amalosi, se 'upega tafa'ilagi leaga, po'o se feso'ota'iga fa'asalalauga fa'aletonu e mafai ona fa'atinoina le tulafono i luga ole masini a le tagata fa'aoga. Mai iina, o se oso puupuu i le gaoi faʻamaonia, gaioiga i tua, poʻo le faʻapipiʻiina o mea leaga sili atu. O le "su'esu'e i luga o le upega tafa'ilagi sili ona lauiloa i le lalolagi" o le fa'aopoopoga fo'i, o le osofa'iga sili ona lauiloa i le lalolagi.

Le Faafoliga o le Pulea: Aisea Tatou te Pa'u ai i tua

O lea la, o le a le filo masani iinei? E le na'o mea nei o ni fa'aletonu "taua". O le natura masani, toetoe lava a masani o latou mauaina ma le faʻaaogaina. Ua maua i matou i se tulaga faʻavavau o faʻalavelave faʻafuaseʻi, lea ua avea ai le "faʻapipiʻi faʻanatinati" ma faiga faʻaoga faʻaletonu, nai lo se tuusaunoaga.

Aisea?

1. Aitalafu Lavelave: O NetScaler ma Chrome o ni vaega faigata tele o polokalame. NetScaler, faʻatasi ai ma le tele o foliga ma tuʻufaʻatasiga, o loʻo faʻaalia ai se osofaʻiga tele. Chrome, faʻatasi ai ma lana JavaScript engine (V8), faʻaliliuga afi, ma faʻaopoopoga faʻapitoa faifaipea, o se faʻamoemoega faʻagasolo mo tagata suʻesuʻe saogalemu ma osofaʻiga tutusa. O le lavelave e tupuga mai ai pesi, ma fa'aletonu, e mautinoa lava, e o'o atu ai i fa'aletonu.
2. Le Aafiaga o le Attacker's: O malo-setete ma vaega solitulafono faʻapitoa e le o faʻatali mo faʻamatalaga lautele. O lo'o latou su'e ma'ale'ale mo nei fa'aletonu, e masani ona iai ni alaga'oa taua. O le taimi lava e maua ai, o le zero-day o se pepa auro, faʻaaogaina lemu seia oʻo ina faʻamalosia e se patch o latou lima. O le mea moni o nei mea o loʻo *faʻaaogaina malosi * o lona uiga o fili ua muamua atu i luma o le pi.
3. Patching Paralysis: Mo mea tetele e pei o le NetScaler, o le fa'apipi'i e masani ona fa'auiga i le taimi e to'a ai, fuafua fa'aeteete, ma le fa'amaopoopoina i le tele o 'au. I pisinisi tetele, e mafai ona avea lenei mea ma se miti taufaafefe. Mo Chrome, e sili atu ona faigofie, ae o loʻo faʻalagolago pea i le faʻaogaina e le tagata faʻaoga poʻo le malosi o le pulega faʻapitoa. O le "seti ma faagalo" le mafaufau, pe sili atu ona leaga, o le "tatou oo atu i le isi kuata", o se fua mo le fetuunai. Ole taimi ole CISA mo NetScaler, ua pasia nei, o se fa'amanatuga tele o lenei mea le tumau.
4. Saogalemu e pei o se Mafaufauga: E ui lava i le tele o upu, o le saogalemu e masani lava ona vaʻaia o se nofoaga autu tau, o se faʻalavelave i mea fou, poʻo se faʻafitauli e foia * pe a uma * se soliga. O le fa'afaigaluegaina o tupe i le tulituliloaina o le taufaamata'u, pulega malosi o le fa'aletonu, ma le fa'aauauina o a'oa'oga mo le puipuiga e masani ona fa'atusalia i le fa'alavelave fa'afuase'i ina ua mavae le fa'alavelave.

I tua atu o le Patch: O se Valaau mo le Su'esu'eina o Fuafuaga

Na'o le ta'u atu i se fa'alapotopotoga e "patch vave" e pei lava o le ta'u atu i se tasi o lo'o tauivi i totonu o le vai loloto e "aau malosi." E mana'omia, ae e le fa'ailoaina ai le fa'afitauli autu. Matou te manaʻomia se suiga faʻavae i le auala matou te faʻaogaina ai le saogalemu.

• Manatu Fa'asea: Ua mate le fa'ata'ita'iga tuai mo le puipuiga o le nofoaga. Fa'apea ua soli lau NetScaler *. Fa'apea o 'au' au fa'aoga Chrome browsers o le a fa'aogaina. Fa'atino le vaeluaga o feso'ota'iga malosi, avanoa fa'atauva'a fa'atauva'a, ma fa'aauau le mata'ituina mo gaioiga fa'aletonu. O le tulituliloaina e le o se mea taugata; ose mea tatau. Va'ai mo fa'ailoga fa'apitoa: feso'ota'iga e le masani ai i fafo mai lau NetScaler, fa'amatalaga fou a tagata fa'aoga, fa'agasolo fa'agasolo fa'afuase'i.
• Otometi Mea Uma e Mafai: Puleaina o Patch mo fa'ai'uga e pei o Chrome e tatau ona fa'a-otosia atoatoa ma fa'amalosia. Mo mea tetele e pei o NetScaler, ae sili atu ona lavelave, o le faagasologa e manaʻomia ona faʻafaigofie, faʻataʻitaʻi, ma faʻataʻitaʻi. E tatau ona fuafuaina ma talia le taimi malolo mo faʻafouga saogalemu o se tau o le faia o pisinisi, e le aloese i tau uma.
• Teufaafaigaluega i le Maufetuuna'i, E le Na'o le Puipuia: O fuafuaga e tali atu ai i fa'alavelave e tatau ona fa'ata'ita'iina. E mafai ona e iloa vave se soliga? E mafai ona e taofiofia? E mafai ona e toe malosi e aunoa ma le totogiina o se tau? O fesili ia e taua pe a mautinoa le le manuia o puipuiga.
• Manaoga Sili Mai Fa'atau: A'o fa'apipi'i e Google, o le tele o aso e leai ni aso i Chrome e fa'ailoa mai ai le mana'omia mo le loloto o iloiloga faufale ma atonu o se polokalame e sili atu le fa'amata'utia i totonu. Mo faʻatau pisinisi tetele pei o Citrix, o le faʻamoemoe e tatau ona sili atu le maualuga. O a latou oloa o le ivi lea o galuega tau pisinisi.

O le mea moni, o nei mea e le o ni fa'alavelave fa'afuase'i. O fa'ailoga ia o se fa'anatura fa'anatura fa'akomepiuta i lalo o osofa'iga faifaipea, fa'apitoa. O lapata'iga "taua" o le a o'o mai pea. O le fesili e le'o pe'a o le a taula'i lau fa'alapotopotoga, ae o afea*, ma pe ua e aga'i atu i tua atu o le si'i fa'afoliga e fausia ai se puipuiga mautu moni. Afai e le'i fa'amalosia e le taimi fa'agata CISA mo NetScaler lau fuafuaga mo le puipuiga, ua o'o i le taimi mo se toe iloiloga ogaoga.

Punavai

[1] CISA Fa'ailoa Fa'aaogā Fa'aletonu Fa'amatalaga — https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Fa'amata'u Tagata Fa'amata'u Fa'aaogaina le Citrix NetScaler ADC ma le Citrix NetScaler Gateway Vulnerability (CVE-2023-4966) — https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-vulnergateway-citrix-netscaler [3] Faʻatonu Faʻafuaseʻi 23-02: Faʻaitiitia le Citrix NetScaler ADC ma le Gateway Vulnerability - https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] Fa'afouga Fa'afouga Fa'afouga mo Papamaa (CVE-2024-4947) — https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC ma Citrix NetScaler Gateway Bulletin Puipuiga mo CVE-2023-4966 ma CVE-2023-4967 — https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967