# דער שטענדיקער נויטפאַל שטאַט : ווען "קריטיש" ווערט ווייסע ראַש

אויב דיין אָרגאַניזאַציע איז נאָך פליסנדיק אַנפּאַטשט Citrix NetScaler ADCs אָדער Gateways לעצטע האַרבסט, איר האָט נישט נאָר גענומען אַ ריזיקירן; איר האט אַקטיוולי ינווייטינג ומגליק. די דרינגלעך פלינק פון CISA פֿאַר די קריטיש נול-טאָג, CVE-2023-4966, וויידלי באַוווסט ווי "Citrix Bleed," איז נישט אַ טעאָרעטיש געניטונג אין ריזיקירן פאַרוואַלטונג [1, 2]. עס איז געווען אַ שטרענג ווארענונג, אַ דירעקט באַשטעטיקונג אַז אַטאַקערז זענען * שוין ין * די נעטוואָרקס פון די וואָס דילייד פּאַטטשינג. די 27 אקטאבער 2023, טערמין פֿאַר פעדעראלע יידזשאַנסיז צו פּאַטשן, מאַנדייטיד דורך סיסאַ עמערגענסי דירעקטיוו 23-02, איז געקומען און ניטאָ [3]. אויב פעדעראלע ענטיטיז, מיט זייער היפּש רעסורסן און דעדאַקייטאַד זיכערהייט טימז, פייסט טשאַלאַנדזשיז צו טרעפן אַזאַ טאַרגאַץ, דאָס כיילייץ די גוואַלדיק דרוק אויף אַלעמען אַנדערש.

דאָס איז ניט נאָר וועגן אַ איין, פּאַסקודנע זשוק. דאָס איז וועגן אַ סיסטעמיק דורכפאַל צו אָנכאַפּן די ערלעכקייט פון "קריטיש ינפראַסטראַקטשער" אין די דיגיטאַל עלטער. NetScaler אַפּפּליאַנסעס זענען די דיגיטאַל עקוויוואַלענט פון דיין בנין ס הויפּט אַרייַנגאַנג, די זיכערהייט טשעקפּוינט און די HVAC סיסטעם אַלע ראָולד אין איין. זיי זיצן ביי די פּערימעטער, האַנדלינג אָטענטאַקיישאַן, מאַסע באַלאַנסינג און פאַרקער פאַרוואַלטונג. אַ RCE (Remote Code Execution) אויף אַזאַ אַ מיטל איז נישט בלויז אַ ברעכן; עס איז אַ פול סיסטעם איבערגענומען, אַ בעל שליסל איבערגעגעבן גלייַך צו אַ קעגנער. מיר רעדן וועגן דעם טיפּ פון אַקסעס וואָס אַלאַוז אַטאַקערז עפערטלאַסלי דריינ זיך אין ינערלעך נעטוואָרקס, עקספילטרירן שפּירעוודיק דאַטן אָדער צעוויקלען ראַנסאָמוואַרע מיט כירורגיש פּינטלעכקייַט. דער פאַקט אַז CVE-2023-4966 איז * אַקטיוולי עקספּלויטאַד*, איצט ענשריינד אין CISA ס KEV קאַטאַלאָג, מיטל די פֿענצטער פֿאַר פּראָואַקטיוו פאַרטיידיקונג איז געשווינד פארמאכט [1]. אָרגאַניזאַציעס האָבן ניט מער פאַרהיטן אַן באַפאַלן; זיי האבן געליטן אן אנגיין אינצידענט.

דער בלעטערער ווי די נייַ פּערימעטער: קראָום ס ענדלעסס וואַלנעראַביליטי ציקל

און פּונקט ווען איר געדאַנק דיין נעץ פּערימעטער איז די בלויז זאַך אונטער סידזש, Google קעסיידער אַנאַונסיז אן אנדער באָמבע: אַקטיוולי עקספּלויטאַד נול-טעג אין קראָום. פֿאַר בייַשפּיל, CVE-2024-4947, אַ קריטיש V8 טיפּ צעמישונג פלאָ, איז געווען בלויז איינער פון עטלעכע אַקטיוולי עקספּלויטאַד וואַלנעראַביליטיז פּאַטשט * דעם יאָר * [4]. דאָס איז נישט אַ פעלן; עס ס אַ קאָנסיסטענט מוסטער. יעדער נייַ לאַטע, אָפט באגלייט דורך די דרינגלעך באַפעלן צו "דערהייַנטיקן מיד," כיילייץ אַ אַנדערש, אָבער גלייַך ינסידיאַס, וועקטאָר פון קאָמפּראָמיס. בשעת NetScaler גאַרדז די טויערן, קראָום איז די ומעטומיק פּאָזיציע פונט אין יעדער אָנגעשטעלטער ס קעשענע, אויף יעדער ווערקסטיישאַן, און אין יעדער וואָלקן-באזירט ווירטואַל דעסקטאַפּ.

פֿאַר יאָרן, מיר האָבן אונטערגעשטראכן ענדפּוינט זיכערהייט, אָבער די לויטער גיכקייַט פון קראָום נול-טעג מאכט עס פילן ווי מיר קעסיידער סטראַגאַלינג צו האַלטן זיך. יעדער פון די וואַלנעראַביליטיז רעפּראַזענץ אַ פּאָטענציעל פאָר-דורך באַפאַלן, אַ בייזע וועבזייטל אָדער אַ קאַמפּראַמייזד אַד נעץ וואָס איז ביכולת צו דורכפירן אַרביטראַריש קאָד אויף אַ באַניצער 'ס מאַשין. פֿון דאָרט, עס איז אַ קורץ שפּרינגען צו קראַדענטשאַל גנייווע, לאַטעראַל באַוועגונג אָדער די דיפּלוימאַנט פון מער סאַפיסטאַקייטיד מאַלוואַרע. דער "וועלט ס מערסט פאָלקס וועב בלעטערער" איז אויך, דורך פאַרלענגערונג, די וועלט 'ס מערסט פאָלקס באַפאַלן ייבערפלאַך.

די אילוזיע פון קאנטראל: פארוואס מיר פאלן ווייטער

אַזוי, וואָס איז דער פּראָסט פאָדעם דאָ? עס איז נישט בלויז אַז דאָס זענען "קריטיש" וואַלנעראַביליטיז. דאָס איז די פּרידיקטאַבאַל, כּמעט ריטואַליסטיק נאַטור פון זייער ופדעקונג און עקספּלויטיישאַן. מיר זענען געכאפט אין אַ דוירעסדיק שטאַט פון נויטפאַל, ווו "דרינגלעך פּאַטטשינג" איז געווארן די פעליקייַט אַפּעריישאַנאַל מאָדע, אלא ווי אַ ויסנעם.

פארוואס?

1. ** קאַמפּלעקסיטי כויוו: ** ביידע NetScaler און קראָום זענען ינקרעדאַבלי קאָמפּליצירט ווייכווארג. NetScaler, מיט זיין מיריאַד פֿעיִקייטן און ינטאַגריישאַנז, גיט אַ וואַסט באַפאַלן ייבערפלאַך. קראָום, מיט זיין דזשאַוואַסקריפּט מאָטאָר (V8), רענדערינג מאָטאָר און קעסיידערדיק שטריך אַדישאַנז, איז אַ מאָווינג ציל פֿאַר זיכערהייט ריסערטשערז און אַטאַקערז. קאַמפּלעקסיטי ברידז באַגז, און באַגז, ינעוואַטאַבלי, פירן צו וואַלנעראַביליטיז.
2. די אַדוואַנטידזש פון די אַטאַקער: נאַציאָנאַל-שטאַטן און סאַפיסטאַקייטיד פאַרברעכער גרופּעס זענען נישט ווארטן פֿאַר עפנטלעך אַנטפּלעקונג. זיי זענען אַקטיוולי גייעג פֿאַר די פלאָז, אָפט מיט באַטייַטיק רעסורסן. אַמאָל געפונען, אַ נול-טאָג איז אַ גאָלדען בילעט, עקספּלויטאַד שטיל ביז אַ לאַטע צווינגען זייער האַנט. דער פאַקט אַז די זענען אַקטיוו עקספּלויטאַד מיטל די קעגנערס זענען שוין פאָרויס פון די ויסבייג.
3. ** פּאַטטשינג פּאַראַליסיס: ** פֿאַר קריטיש ינפראַסטראַקטשער ווי NetScaler, פּאַטטשינג אָפט מיטל דאַונטיים, אָפּגעהיט פּלאַנירונג און קאָואָרדאַניישאַן צווישן קייפל טימז. אין גרויס ענטערפּריסעס, דאָס קען זיין אַ ביוראַקראַטיק נייטמער. פֿאַר קראָום, עס איז סימפּלער, אָבער נאָך רילייז אויף באַניצער העסקעם אָדער געזונט סענטראַלייזד פאַרוואַלטונג. די פּסיכאָלאָגיע פון ​​"שטעלן עס און פאַרגעסן עס", אָדער ערגער, די "מיר וועט באַקומען צו דעם ווייַטער פערטל" צוגאַנג, איז אַ רעצעפּט פֿאַר פשרה. די סיסאַ טערמין פֿאַר NetScaler, איצט דורכגעגאנגען, איז אַ שטרענג דערמאָנונג פון דעם ינערשאַ.
4. זיכערקייט אלס א נאכפאלגונג: טראץ אלע מליצות, ווערט זיכערהייט נאך צו אפט געזען אלס קאסטן צענטער, א שטערונג פאר כידעש, אדער א פראבלעם צו לייזן נאך א בריטש. די ינוועסמאַנט אין פּראָואַקטיוו סאַקאָנע גייעג, שטאַרק וואַלנעראַביליטי פאַרוואַלטונג און קעסיידערדיק זיכערהייט בילדונג אָפט פּאַלס אין פאַרגלייַך מיט די ריאַקטיוו שטופּן נאָך ינסידענט.

ווייַטער פון די פּאַטש: אַ רופן פֿאַר סטראַטידזשיק אָוווערכאָל

פשוט זאָגן אַן אָרגאַניזאַציע צו "פּאַטש מיד" איז ווי צו זאָגן עמעצער וואָס סטראַגאַלינג אין טיף וואַסער צו "שווימען האַרדער." עס איז נייטיק, אָבער עס טוט נישט אַדרעס די אַנדערלייינג פּראָבלעם. מיר דאַרפֿן אַ פונדאַמענטאַל יבעררוק אין ווי מיר צוגאַנג זיכערהייט.

• ** יבערנעמען קאָמפּראָמיס:** די אַלט פּערימעטער פאַרטיידיקונג מאָדעל איז טויט. יבערנעמען דיין NetScaler * איז * בריטשט. יבערנעמען דיין יוזערז 'קראָום בראַוזערז * וועט * זיין עקספּלויטאַד. ינסטרומענט שטאַרק נעץ סעגמאַנטיישאַן, קלענסטער פּריווילעגיע אַקסעס און קעסיידערדיק מאָניטאָרינג פֿאַר אַנאַמאַלאַס טעטיקייט. סאַקאָנע גייעג איז נישט אַ לוקסוס; עס איז אַ נייטיקייַט. קוק פֿאַר די סאַטאַל וואונדער: ומגעוויינטלעך אַוטבאַונד קאַנעקשאַנז פון דיין NetScaler, נייַע באַניצער אַקאַונץ, אומגעריכט דורכפירונג פּראָצעס.
• ** אָטאַמייט אַלץ מעגלעך: ** פּאַטש פאַרוואַלטונג פֿאַר ענדפּוינץ ווי קראָום זאָל זיין גאָר אָטאַמייטיד און ענפאָרסט. פֿאַר קריטיש ינפראַסטראַקטשער ווי NetScaler, כאָטש מער קאָמפּליצירט, דער פּראָצעס דאַרף זיין סטרימליינד, טעסטעד און ריכערסט. דאַונטיים פֿאַר זיכערהייט דערהייַנטיקונגען זאָל זיין פּלאַננעד און אנגענומען ווי אַ קאָס פון טאן געשעפט, ניט אַוווידיד אין אַלע קאָס.
• ** ינוועסטירן אין ריזיליאַנס, ניט נאָר פאַרהיטונג: ** ינסידענט ענטפער פּלאַנז דאַרפֿן צו זיין שלאַכט-טעסטעד. קענען איר דעטעקט אַ ברעכן געשווינד? קענען איר אַנטהאַלטן עס? קענען איר צוריקקריגן אָן צאָלן אַ ויסלייזגעלט? דאס זענען די פראגעס וואָס ענין ווען פאַרהיטונג ינעוואַטאַבלי פיילז.
• ** פאָדערונג בעסער פון ווענדאָרס: ** בשעת Google איז פּאַטטשינג, די לויטער באַנד פון נול-טעג אין קראָום סאַגדזשעסץ אַ נויט פֿאַר דיפּער אַרקאַטעקטשעראַל באריכטן און טאָמער אַ מער אַגרעסיוו ינערלעך זשוק ברייטהאַרציקייט פּראָגראַם. פֿאַר קריטיש ינפראַסטראַקטשער ווענדאָרס ווי סיטריקס, די דערוואַרטונג זאָל זיין אפילו העכער. זייער פּראָדוקטן זענען ממש די באַקבאָון פון פאַרנעמונג אַפּעריישאַנז.

דער פאַקט איז אַז דאָס זענען נישט ייסאַלייטאַד ינסאַדאַנץ. זיי זענען סימפּטאָמס פון אַ דיגיטאַל יקאָוסיסטאַם אונטער קעסיידערדיק, סאַפיסטאַקייטיד אַטאַקע. די "קריטיש" אַלערץ וועלן פאָרזעצן צו קומען. די קשיא איז נישט * אויב * דיין אָרגאַניזאַציע וועט זיין טאַרגעטעד, אָבער * ווען *, און צי איר האָט אריבערגעפארן ווייַטער פון די ריאַקטיוו שטופּן צו בויען אַ באמת ריזיליאַנט פאַרטיידיקונג. אויב די דורכגעגאנגען CISA טערמין פֿאַר NetScaler האט נישט גאַלוואַנייזד דיין זיכערהייט סטראַטעגיע, עס איז צייט פֿאַר אַ ערנסט שייַעך-אפשאצונג.

# קוואלן

[1] סיסאַ באַוווסט עקספּלאָיטעד וואַלנעראַביליטיז קאַטאַלאָג - https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] סאַקאָנע אַקטערז וואָס נוצן די וואַלנעראַביליטי פון Citrix NetScaler ADC און Citrix NetScaler Gateway (CVE-2023-4966) - https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-cisa.gov-scaler [3] נויטפאַל דירעקטיוו 23-02: מיטיגאַטע סיטריקס נעטסקאַלער אַדק און גאַטעווייַ וואַלנעראַביליטי - https://www.cisa.gov/news-events/directives/emergency-directive-23-02-mitigate-citrix-netscaler-adc-and-gateway-vulnerability [4] סטאַביל קאַנאַל דערהייַנטיקן פֿאַר דעסקטאָפּ (CVE-2024-4947) - https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC און Citrix NetScaler Gateway Security Bulletin פֿאַר CVE-2023-4966 און CVE-2023-4967 - https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967