Citrix cảnh báo các quản trị viên vá lỗ hổng NetScaler CVE-2023-4966 ngay lập tức

Mới đây, Citrix đã cảnh báo các quản trị viên phải bảo mật tất cả các thiết bị NetScaler ADC và Gateway ngay lập tức trước các cuộc tấn công khai thác lỗ hổng CVE-2023-4966 đang diễn ra.

Lỗ hổng tiết lộ thông tin nhạy cảm nghiêm trọng, có định danh CVE-2023-4966 (điểm CVSS: 9,4/10), đã được vá 2 tuần trước, có thể cho phép những kẻ tấn công không được xác thực, khai thác từ xa mà không yêu cầu tương tác của người dùng.

Lỗ hổng chỉ ảnh hưởng đến các thiết bị NetScaler được cấu hình như một Gateway (máy chủ ảo VPN, Proxy ICA, CVPN, RDP Proxy) hoặc máy chủ ảo AAA.

Mặc dù công ty không phát hiện dấu hiệu nào cho thấy lỗ hổng này đã bị khai thác trong thực tế khi bản vá lỗi được phát hành, nhưng hoạt động khai thác đã được Mandiant tiết lộ một tuần sau đó.

Công ty bảo mật cho biết các tác nhân đe dọa đã khai thác CVE-2023-4966 dưới dạng zero-day kể từ cuối tháng 8 năm 2023 để đánh cắp các phiên (session) xác thực và chiếm đoạt tài khoản, điều này có thể giúp kẻ tấn công vượt qua xác thực đa yếu tố hoặc các yêu cầu xác thực mạnh mẽ khác.

Mandiant cảnh báo rằng các session bị xâm phạm vẫn tồn tại ngay cả sau khi vá và tùy thuộc vào quyền của tài khoản bị xâm nhập, kẻ tấn công có thể truy cập vào các hệ thống khác (move laterally) trong mạng hoặc xâm phạm các tài khoản khác.

Ngoài ra, Mandiant còn phát hiện các trường hợp CVE-2023-4966 bị khai thác để xâm nhập vào cơ sở hạ tầng của các tổ chức chính phủ và công ty công nghệ.

Citrix đặc biệt khuyến nghị các quản trị viên triển khai bảo mật cho hệ thống của họ ngay trước tình trạng các cuộc tấn công đang diễn ra

Citrix cảnh báo rằng: “Hiện tại, chúng tôi đã có báo cáo về các sự cố liên quan đến việc chiếm quyền điều khiển phiên và đã nhận được báo cáo đáng tin cậy về các cuộc tấn công có chủ đích khai thác lỗ hổng này”.

Ngoài ra, Citrix khuyến nghị người dùng nên vô hiệu tất cả các phiên hoạt động (‘active’ và ‘persistent’ session) bằng các lệnh sau:

kill icaconnection -all

kill rdp connection -all

kill pcoipConnection -all

kill aaa session -all

clear lb persistentSessions

Các thiết bị NetScaler ADC và NetScaler Gateway không được thiết lập làm gateway hoặc dưới dạng máy chủ ảo AAA (ví dụ: cấu hình cân bằng tải thông thường) sẽ không dễ bị tấn công bởi CVE-2023 -4966.

Thứ Năm tuần trước, CISA đã thêm CVE-2023-4966 vào Danh mục các lỗ hổng bị khai thác đã biết, yêu cầu các cơ quan liên bang bảo vệ hệ thống của họ trước các khai thác tấn công liên quan đến lỗ hổng trước ngày 8 tháng 11.

Nguồn: bleepingcomputer.com