Hemişelik adatdan daşary ýagdaý: "Tankytly" ak ses bolanda
Geçen güýzde guramaňyz henizem iberilmedik “Citrix NetScaler ADCs” ýa-da “Gateways” işleýän bolsa, diňe töwekgelçilik etmeýärdiňiz; betbagtçylyga işjeň çagyrýardyňyz. "Citrix Bleed" ady bilen giňden tanalýan CVE-2023-4966 kritiki nol gününe CISA-nyň gyssagly duýduryşy töwekgelçiligi dolandyrmakda teoretiki maşk däldi [1, 2]. Bu berk duýduryş, hüjümçileriň ýamany gijikdirenleriň torlarynyň içinde eýýäm bardygyny tassyklamakdy. 2023-nji ýylyň 27-nji oktýabrynda, GDA-nyň Adatdan daşary ýagdaý görkezmesi 23-02 tarapyndan görkezilen federal agentlikleriň patch möhleti geldi we gitdi [3]. Federal guramalar, ep-esli çeşmeleri we aýratyn howpsuzlyk toparlary bilen şeýle maksatlara ýetmek üçin kynçylyklar bilen ýüzbe-ýüz bolsa, bu hemme kişä edilýän ägirt uly basyşy görkezýär.
Bu diňe bir nejis säwlik hakda däl. Bu, sanly döwürde "möhüm infrastrukturanyň" agyrlygyna düşünip bilmeýän ulgamlaýyn şowsuzlyk hakda. NetScaler enjamlary, binanyňyzyň esasy girelgesine, howpsuzlyk barlag nokadyna we HVAC ulgamynyň sanly birine deňdir. Hakyky tanamak, ýük balansy we ýol hereketini dolandyrmak bilen perimetrde oturýarlar. Şeýle enjamdaky RCE (Uzakdan kod ýerine ýetirişi) diňe düzgün bozmak däl; bu ulgamyň doly ele geçirilmegi, göni garşydaşa berlen esasy açar. Hüjümçilere içerki ulgamlara synanyşmaga, duýgur maglumatlary siňdirmäge ýa-da hirurgiki takyklyk bilen töleg programma üpjünçiligini ýerleşdirmäge mümkinçilik berýän görnüş barada aýdýarys. CVE-2023-4966-nyň * işjeň ulanylandygy *, indi CISA-nyň KEV katalogynda berkidilenligi, işjeň goranyş penjiresiniň çalt ýapylýandygyny aňladýar [1]. Guramalar hüjümiň öňüni almaýardylar; dowam edýän wakany gowşadýardylar.
Täze perimetri hökmünde brauzer: Chrome-nyň tükeniksiz gowşaklygy
Toruň perimetri gabaw astyndaky ýeke-täk zat diýip pikir edeniňizde, Google yzygiderli başga bir bombany yglan edýär: Chrome-da nol günleri işjeň ulanýar. Mysal üçin, V8 görnüşli bulaşyklyk kemçiligi bolan CVE-2024-4947, şu ýyl * * [4] tarapyndan işjeň ulanylan birnäçe gowşak goralan ýerlerden diňe biri boldy. Bu tüýdük däl; yzygiderli nagyş. Her täze ýama, köplenç "derrew täzelenmek" haýyşy bilen bilelikde başga, emma deň derejede mekir we ylalaşyk wektoryny görkezýär. NetScaler derwezeleri goraýarka, Chrome her bir işgäriň jübüsinde, her iş nokadynda we bulut esasly wirtual iş stolunda hemme ýerde bar.
Ençeme ýyl bäri ahyrky nokadyň howpsuzlygyny nygtap gelýäris, emma Chrome nol günleriniň gaty tizligi, yzygiderli dowam etmek üçin göreşýän ýaly duýýarys. Bu gowşak goralanlyklaryň her biri, ulanyjynyň enjamynda özbaşdak kod ýerine ýetirip bilýän potensial sürüjilik hüjümini, zyýanly web sahypasyny ýa-da bozulan mahabat toruny aňladýar. Şol ýerden, şahsyýet ogurlygyna, gapdal hereketine ýa-da has çylşyrymly zyýanly programma üpjünçiliginiň ýerleşdirilmegine gysga bir umyt bar. "Dünýäniň iň meşhur web brauzeri", has giňişleýin görnüşde, dünýäniň iň meşhur hüjüm ýeri.
Dolandyryşyň illýuziýasy: Näme üçin yzda galýarys?
Onda, bu ýerde umumy sapak näme? Diňe bu "möhüm" gowşak goralanlyklar däl. Bu olaryň açylyşynyň we ekspluatasiýasynyň öňünden aýdylýan, däp-dessur häsiýeti. Biz hemişelik adatdan daşary ýagdaýdadyk, bu ýerde "gyssagly patch" kadadan çykma däl-de, adaty iş tertibine öwrüldi.
Näme üçin?
- ** Çylşyrymly karz: ** NetScaler we Chrome ikisi hem ajaýyp programma üpjünçiligi bölekleridir. NetScaler, köp sanly aýratynlyklary we integrasiýalary bilen giň hüjüm meýdançasyny görkezýär. “JavaScript” hereketlendirijisi (V8), hereketlendiriji hereketlendiriji we hemişelik aýratynlyk goşmaçalary bolan “Chrome”, howpsuzlyk gözlegçileri we hüjümçiler üçin hem möhüm maksat bolup durýar. Çylşyrymlylyk kemçilikleri köpeldýär we kemçilikler hökmany suratda gowşaklyklara sebäp bolýar.
- ** Hüjümçiniň artykmaçlygy: ** Millet-döwletler we çylşyrymly jenaýat toparlary köpçülige aýan edilmegine garaşmaýarlar. Köplenç möhüm çeşmeler bilen bu kemçilikleri işjeň gözleýärler. Bir gezek tapylansoň, nol gün altyn bilet bolup, bir ýama elini zorlaýança arkaýyn ulanylýar. Bularyň * işjeň ulanylýandygy * garşydaşlaryň eýýäm egrilikden öňe geçendigini aňladýar.
- ** Patching ysmazlygy: ** NetScaler ýaly möhüm infrastruktura üçin, patch köplenç iş taşlaýyş, seresaply meýilnamalaşdyrmak we köp toparlaryň arasynda utgaşdyrmak diýmekdir. Uly kärhanalarda bu býurokratik düýş bolup biler. “Chrome” üçin bu has ýönekeý, ýöne şonda-da ulanyjynyň ýerine ýetirişine ýa-da ygtybarly merkezleşdirilen dolandyryşyna daýanýar. "Ony kesgitläň we ýatdan çykaryň" mentaliteti, has beteri, "indiki çärýekde oňa ýeteris" çemeleşmesi, eglişik üçin reseptdir. NetScaler üçin CISA möhleti, indi geçdi, bu inersiýany düýpli ýatladýar.
- ** Pikir hökmünde howpsuzlyk: ** rhli ritorikalara garamazdan, howpsuzlyk henizem çykdajy merkezi, innowasiýa päsgelçiligi ýa-da * bozulandan soň çözülmeli mesele hökmünde görülýär. Howpsuz aw awlamak, gowşak goralanlygy dolandyrmak we üznüksiz howpsuzlyk bilimine goýulýan maýa goýumlary, wakadan soňky reaktiw çaknyşyklar bilen deňeşdirilende köplenç peselýär.
Yamanyň aňyrsynda: Strategiki düýpli abatlaýyş çagyryşy
Diňe bir gurama "derrew ýama" diýmek, çuň suwda göreşýän adama "has kyn ýüzmek" diýmek ýalydyr. Zerur, ýöne esasy meseläni çözmeýär. Howpsuzlyga nähili çemeleşýändigimizde düýpgöter üýtgeşiklik gerek.
- ** Barlyşygy kabul ediň: ** Köne perimetri goramak modeli öldi. NetScaler * -iň * bozulandygyny çaklaň. Ulanyjylaryňyzyň “Chrome” brauzerleri * ulanylar diýip çaklaň. Ygtybarly ulgam segmentasiýasyny, iň az artykmaç ygtyýary we anomal işjeňlik üçin üznüksiz gözegçiligi amala aşyryň. Howp awlamak rahatlyk däl; zerurlyk. Inçe alamatlary gözläň: NetScaler-den adaty bolmadyk birikmeler, täze ulanyjy hasaplary, garaşylmadyk amal ýerine ýetirilişi.
- ** Mümkin bolan hemme zady awtomatlaşdyryň: ** Chrome ýaly ahyrky nokatlar üçin patch dolandyryşy doly awtomatlaşdyrylan we ýerine ýetirilmeli. NetScaler ýaly möhüm infrastruktura üçin has çylşyrymly bolsa-da, prosesi tertipleşdirmeli, synagdan geçirmeli we repetisiýa etmeli. Howpsuzlyk täzelenmeleri üçin iş wagty meýilleşdirilmeli we işewürlik üçin çykdajy hökmünde kabul edilmeli, ähli çykdajylardan gaça durmaly däl.
- ** Diňe öňüni almak däl-de, çydamlylyga maýa goýuň: ** Wakalara garşy meýilnamalar söweş synagyndan geçmeli. Düzgünini çalt tapyp bilersiňizmi? Siz saklap bilersiňizmi? Girew tölemezden dikeldip bilersiňizmi? Öňüni almak hökman şowsuz bolanda bu soraglar möhümdir. ** “Citrix” ýaly möhüm infrastruktura satyjylary üçin garaşyş hasam ýokary bolmaly. Önümleri sözme-söz kärhana amallarynyň diregi bolup durýar.
Hakykat, bu waka däl. Olar yzygiderli, çylşyrymly hüjümde sanly ekosistemanyň alamatlarydyr. "Kritiki" duýduryşlar geler. Sorag * guramaňyzyň nyşana alynjakdygy däl-de, * haçan * boljakdygy we hakykatdanam çydamly goranyş gurmak üçin reaktiw dawa-jenjeliň çäginden çykandygyňyz däl. NetScaler üçin geçen CISA möhleti howpsuzlyk strategiýaňyzy güýçlendirmedik bolsa, çynlakaý täzeden baha bermegiň wagty geldi.
Çeşmeler
[1] GDA-nyň belli ekspluatirlenen gowşaklyklar katalogy - https://www.cisa.gov/known-exploited-vulnerabilities-catalog [2] Citrix NetScaler ADC we Citrix NetScaler Gateway gowşaklygy (CVE-2023-4966) ulanýan howp abanýan aktýorlar - - https://www.cisa.gov/news-events/alerts/2023/10/05/threat-actors-exploiting-citrix-netscaler-adc-and-citrix-netscaler-gateway-vulnerability ] [4] Iş stoly üçin durnukly kanal täzelenmesi (CVE-2024-4947) - https://chromereleases.googleblog.com/2024/05/stable-channel-update-for-desktop_13.html [5] Citrix NetScaler ADC we CVE-2023-4966 we CVE-2023-4967 üçin Citrix NetScaler şlýuz howpsuzlygy býulleteni - https://support.citrix.com/article/CTX579459/citrix-netscaler-adc-and-citrix-netscaler-gateway-security-bulletin-for-cve20234966-and-cve20234967