Se ha identificado una vulnerabilidad de divulgación de información confidencial (CVE-2023-4966) que afecta a los dispositivos NetScaler ADC y NetScaler Gateway. Esta vulnerabilidad fue publicada en un boletín de seguridad por Citrix, el cual detalla las implicaciones y la posible explotación del problema.
Explotación observada
Mandiant ha identificado que esta vulnerabilidad se está explotando desde finales de agosto de 2023. Una explotación exitosa podría permitir a un actor de amenazas secuestrar sesiones autenticadas existentes, evitando así la autenticación multifactor u otros requisitos de seguridad estrictos.
Dispositivos afectados
Las siguientes versiones de los dispositivos NetScaler ADC y Gateway se ven afectadas por la vulnerabilidad:
- NetScaler ADC y NetScaler Gateway 14.1 antes de 14.1-8.50
- NetScaler ADC y NetScaler Gateway 13.1 antes de 13.1-49.15
- NetScaler ADC y NetScaler Gateway 13.0 antes de 13.0-92.19
- NetScaler ADC 13.1-FIPS anterior a 13.1-37.164
- NetScaler ADC 12.1-FIPS anterior a 12.1-55.300
- NetScaler ADC 12.1-NDcPP anterior a 12.1-55.300
Nota: NetScaler ADC y NetScaler Gateway versión 12.1 están al final de su vida útil (EOL) y también son vulnerables.
Cantidad de dispositivos afectados
Actualmente existen al menos 18.000 dispositivos vulnerables. Se pueden identificar mediante los siguientes filtros:
- FOFA:
app="citrix-Gateway" || app="citrix-ADC" || app="citrix-NetScaler-Gateway" - ZoomEye:
app:"Citrix Login" - Shodan:
http.html_hash:-1637505169
Riesgos asociados
Estas sesiones pueden persistir después de la implementación del parche para mitigar CVE-2023-4966. Además, se han observado casos en los que el secuestro de sesión ocurrió antes de la aplicación del parche y los datos fueron utilizados posteriormente por un actor malicioso.
El secuestro de una sesión autenticada podría permitir a un atacante obtener acceso adicional según los permisos y el alcance que se le otorgaba a la identidad o sesión. Esto puede facilitar la recopilación de credenciales adicionales, la movilidad lateral y el acceso a recursos dentro del entorno.
Exclusión de ciertos casos
Citrix ha observado que los clientes que utilizan servicios en la nube administrados por Citrix o autenticación adaptativa administrada por Citrix no se ven afectados por CVE-2023-4966.
Exploit publicado
La vulnerabilidad ha sido bautizada como Citrix Bleed. Un equipo de investigadores de Assetnote ha publicado un exploit funcional que se puede ejecutar mediante un script en Python, disponible en GitHub. Este exploit permite verificar la existencia de la vulnerabilidad y obtener información sensible explotando un desbordamiento de búfer en el encabezado HTTP Host.
Esta vulnerabilidad ha sido observada en servicios profesionales, tecnología y organizaciones gubernamentales. Mandiant está brindando pasos adicionales para remediar y reducir los riesgos relacionados con esta vulnerabilidad.