Kritiske huller i Citrix NetScaler udnyttes aktivt: Opdatér nu, også selvom I opdaterede i august
Angribere udnytter lige nu to kritiske sårbarheder i Citrix NetScaler, som mange virksomheder bruger til at give medarbejdere adgang til netværket hjemmefra. Citrix har udsendt rettelser. Virksomheder, der ikke har opdateret siden i går, bør handle i dag og undersøge, om enheden allerede er kompromitteret.
NetScaler er den løsning, som mange virksomheder bruger til at styre, hvem der kommer ind i netværket udefra. Medarbejdere logger på VPN eller et Citrix-skrivebord gennem den, og den fordeler trafikken til hjemmesider og forretningssystemer. Den står altså yderst i netværket med direkte forbindelse til internettet og med adgang ind til resten af virksomhedens systemer.
Derfor er de nye sårbarheder alvorlige. De gør det muligt for en angriber at overtage enheden via internettet uden brugernavn eller adgangskode. Citrix bekræfter, at begge sårbarheder er blevet udnyttet i angreb, før der fandtes en rettelse.
De danske myndigheder (CSIRT) varslede søndag om sårbarhederne. I Norge hævede den nationale sikkerhedsmyndighed, NSM, samme aften trusselsniveauet til "forhøjet fare" og vurderer det som meget sandsynligt, at angribere vil udnytte sårbare systemer inden for kort tid.
DI vurderer, at risikoen er høj for danske virksomheder. Det gælder ikke kun virksomheder, der er omfattet af NIS2, men også de mange, der ikke har en fast kanal til myndighedernes varsler.
Er jeres virksomhed berørt?
Den alvorligste sårbarhed rammer alle NetScaler ADC- og NetScaler Gateway-installationer, som virksomheden selv eller dens IT-leverandør driver. Det gælder uanset opsætning. Det er altså ikke nok at gennemgå konfigurationen.
Læg især mærke til én ting: Har I opdateret i august på grund af den tidligere NetScaler-sårbarhed, er I stadig sårbare. Versionerne fra august er ældre end de nye rettelser.
Tjenester, som Citrix selv driver i skyen, opdateres af Citrix.
Det skal I gøre i dag
- Find ud af, om I bruger NetScaler. Mange virksomheder ved det ikke selv, fordi IT-leverandøren driver løsningen. Spørg leverandøren direkte, og bed om et skriftligt svar på, om I er berørt, og hvornår systemet blev opdateret.
- Kan I ikke opdatere inden for få timer, så luk adgangen udefra. Det betyder, at fjernadgang og eventuelle tjenester, der går gennem enheden, stopper, indtil den er opdateret. Det er en ledelsesbeslutning, men den skal træffes i dag. Flere organisationer har allerede valgt denne løsning.
- Opdatér. Rettelserne findes i version 14.1-73.37 og 13.1-64.23 eller nyere. Særlige FIPS- og NDcPP-versioner fremgår af Citrix' sikkerhedsbulletin. Bruger I version 13.1, bør I samtidig planlægge en overgang til 14.1, fordi 13.1 ikke længere vedligeholdes.
- Undersøg, om I allerede er ramt. En opdatering lukker hullet, men fjerner ikke en angriber, der er kommet ind forinden. Har enheden været tilgængelig fra internettet i weekenden uden den nye opdatering, bør I gå ud fra, at den kan være kompromitteret, og få den undersøgt. Gem logfiler og data fra enheden, før I nulstiller eller geninstallerer den. Ellers forsvinder de spor, der skal bruges til at finde ud af, hvad der er sket.
- Handl, hvis der er tegn på indbrud. Skift de adgangskoder og nøgler, der har været gemt på eller brugt gennem enheden, og kontakt jeres incident response-leverandør.
Hvis I er ramt
Anmeld hændelsen til politiet. Er virksomheden omfattet af NIS2, skal I desuden vurdere, om der er tale om en væsentlig hændelse, som skal underrettes til myndighederne. Fristen for den første varsling er 24 timer.
Situationen udvikler sig stadig. Følg Citrix' sikkerhedsbulletin CTX697096 for opdateringer.
Læs også mere om, hvordan du styrker din virksomheds digtiale sikkerhed her.
