[ziesell]

Auch in Deutschland: Tausende von Citrix-Servern sind ungepatcht und angreifbar

Etwa 15.000 über das Internet erreichbare Citrix-Server sind trotz verfügbarer Patches nicht vor bekannten Sicherheitslücken geschützt.



Das Softwareunternehmen Citrix hat in der vergangenen Woche vor drei aktiv ausgenutzten Schwachstellen in seinen Produkten Netscaler ADC und Netscaler Gateway gewarnt und auf bereitgestellte Patches hingewiesen. Eine dieser Sicherheitslücken (CVE-2023-3519), die mit einem CVSS von 9,8 als kritisch gilt und Angreifern die Ausführung von schadhaftem Code (RCE) ermöglicht, betrifft Sicherheitsforschern von Shadowserver zufolge weltweit aber noch immer rund 15.000 ungepatchte und über das Internet erreichbare Citrix-Server – davon rund 1.500 aus Deutschland.

Um die anfälligen Server zu erfassen, machten sich die Forscher nach eigenen Angaben zunächst zunutze, dass Citrix die Hashes der Versionsinformationen mit den jüngsten Updates aus den jeweiligen Instanzen der Software entfernte. "Daher können wir davon ausgehen, dass alle Instanzen, die noch Versions-Hashes bereitstellen, nicht aktualisiert wurden und anfällig sein könnten", erklärten die Forscher. Demnach war es ihnen möglich, alle IP-Adressen zu markieren, über die eine Citrix-Instanz mit einem Versionshash bereitgestellt wird. So fanden sie 11.170 anfällige Server.

In diesem Zusammenhang wiesen die Forscher jedoch darauf hin, dass dieses Verfahren noch zu einer Untererfassung führe, da es auch einige ältere und somit anfällige Citrix-Instanzen gebe, die keine Versions-Hashes hätten. Später erweiterten die Sicherheitsforscher ihre Kennzeichnungslogik, "um alle IPs als angreifbar zu kennzeichnen, die Last-Modified-Header mit einem Datum vor dem 1. Juli 2023 00:00:00Z zurückgeben". Darüber hinaus soll auch die Netscaler-AAA-Erkennung verbessert worden sein. Das Ergebnis: Mindestens 15.000 Critix-Server sind nach wie vor angreifbar.

Angriffe trafen bereits kritische US-Infrastruktur

Auch die US-Sicherheitsbehörde CISA nahm CVE-2023-3519 am 19. Juli in ihren Katalog bekannter und aktiv ausgenutzter Schwachstellen auf. Nur einen Tag später wies die Behörde einem Bericht von Bleeping Computer zufolge auf einen Sicherheitsvorfall bei einer kritischen Infrastrukturorganisation hin, bei dem Angreifer durch die Sicherheitslücke "eine Webshell auf der Netscaler ADC-Appliance" erzeugen konnten. Dadurch sei es ihnen gelungen, Daten aus dem Active Directory des Zielsystems zu stehlen.

Citrix empfiehlt Administratoren schon seit dem 18. Juli, die bereitgestellten Patches, mit denen das Unternehmen zwei weitere gefährliche Sicherheitslücken (CVE-2023-3466 und CVE-2023-3467) schloss, so bald wie möglich zu installieren. Schon Anfang Juli gab es in einem Hackerforum erste Hinweise darauf, dass Cyberkriminelle CVE-2023-3519 aktiv ausnutzten.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]