कैसे Citrix NetScaler CVE-2019-19781 क्रिटिकल वल्नरेबिलिटी एक्सपोज्ड आईटी इंडस्ट्रीज़ हिडन इश्यूज

प्रिय पाठक, सबसे पहले, मैं यह बताना चाहूंगा कि जर्मनी के निवासी के रूप में, मैं मुख्य रूप से इस देश की स्थिति का वर्णन करता हूं। शायद आपके देश में स्थिति मौलिक रूप से भिन्न है।

17 दिसंबर, 2019 को, Citrix ज्ञान केंद्र ने Citrix Application Delivery नियंत्रक (NetScaler ADC) और Citrix Gateway उत्पाद लाइनों में महत्वपूर्ण भेद्यता जानकारी प्रकाशित की, जिसे लोकप्रिय रूप से NetScaler Gateway के नाम से जाना जाता है। भविष्य में, एसडी-वान लाइन में भेद्यता भी पाई गई थी। भेद्यता ने उत्पादों के सभी संस्करणों को प्रभावित किया, 10.5 से शुरू और वर्तमान 13.0 के साथ समाप्त हो गया, और अनधिकृत हमलावर को सिस्टम में दुर्भावनापूर्ण कोड निष्पादित करने की अनुमति दी, व्यावहारिक रूप से आंतरिक नेटवर्क पर आगे के हमलों के लिए नेटस्क्लेर को एक मंच में बदल दिया।

• CTX267027: CVE-2019-19781 - Citrix अनुप्रयोग वितरण नियंत्रक में भेद्यता
• CTX267679: CVE-2019-19781 के लिए शमन कदम
• CTX269180: CVE-2019-19781 - सत्यापन उपकरण (1/15/2020 पर पोस्ट किया गया!)

भेद्यता सूचना के प्रकाशन के साथ, Citrix ने वर्कअराउंड दिशानिर्देश प्रकाशित किए। केवल जनवरी 2020 के अंत तक भेद्यता को पूरा करने का वादा किया गया था।

इस भेद्यता की महत्वपूर्णता (CVE-2019-19781) को 10 में से 9.8 अंक पर रेट किया गया था। पॉजिटिव टेक्नॉलॉजीज के अनुसार , दुनिया भर में 80,000 से अधिक कंपनियों की भेद्यता प्रभावित है।

खबर पर संभावित प्रतिक्रिया

एक जिम्मेदार व्यक्ति के रूप में, मेरा मानना ​​था कि उनके बुनियादी ढांचे में NetScaler उत्पादों के साथ सभी आईटी पेशेवरों ने निम्नलिखित कार्य किए:

1. आर्टिकल CTX267679 में निर्दिष्ट जोखिम को कम करने के लिए सभी सिफारिशों को तुरंत लागू किया।
2. NetScaler से आंतरिक नेटवर्क के लिए अनुमत ट्रैफ़िक के संदर्भ में फ़ायरवॉल सेटिंग्स को दोबारा जाँचना।
3. आईटी सुरक्षा व्यवस्थापकों को "असामान्य" ध्यान देने की कोशिश करता है कि वे नेटसिकलर तक पहुँचने का प्रयास करें और, यदि आवश्यक हो, तो उन्हें ब्लॉक करें। आपको याद दिला दूं कि NetScaler आमतौर पर DMZ में स्थित होता है।
4. हमने नेटवर्क से नेटस्कॉलर को अस्थायी रूप से डिस्कनेक्ट करने की संभावना का मूल्यांकन किया, जब तक कि समस्या के बारे में अधिक विस्तृत जानकारी प्राप्त नहीं हुई। क्रिसमस के दौरान, छुट्टियां, आदि, यह इतना दर्दनाक नहीं होगा। इसके अलावा, कई कंपनियों के पास वीपीएन के माध्यम से वैकल्पिक पहुंच है।

भविष्य में क्या हुआ?

दुर्भाग्य से, जैसा कि यह बाद में पता चला है, उपरोक्त कदम, जो मानक दृष्टिकोण हैं, को सबसे अधिक अनदेखा किया गया है।

Citrix बुनियादी ढांचे के लिए जिम्मेदार कई विशेषज्ञों ने केंद्रीय समाचार से केवल 01/13/2020 पर भेद्यता के बारे में सीखा। उन्हें पता चला कि जब वे बड़ी संख्या में सिस्टम के लिए जिम्मेदार थे, तो उनसे समझौता किया गया था। स्थिति की बेरुखी इस बात पर पहुंच गई कि इसके लिए जरूरी कारनामे इंटरनेट पर काफी कानूनी रूप से डाउनलोड किए जा सकते हैं।
किसी कारण से, मैंने सोचा था कि आईटी विशेषज्ञ निर्माताओं से समाचार पत्र पढ़ते हैं, उन्हें सौंपे गए सिस्टम, ट्विटर का उपयोग करने में सक्षम होते हैं, अपने क्षेत्र के प्रमुख विशेषज्ञों की सदस्यता लेते हैं और वर्तमान घटनाओं से अवगत होना आवश्यक है।

वास्तव में, तीन सप्ताह से अधिक समय तक, कई Citrix ग्राहकों ने निर्माता की सिफारिशों को पूरी तरह से नजरअंदाज कर दिया है। और Citrix ग्राहक जर्मनी में लगभग सभी बड़ी और मध्यम आकार की कंपनियों के साथ-साथ लगभग सभी सरकारी एजेंसियों के हैं। सबसे पहले, भेद्यता प्रभावित राज्य संरचनाओं।

लेकिन कुछ करना है

जिनके सिस्टम से छेड़छाड़ की गई है, उन्हें पूरी तरह से पुनर्स्थापित करने की आवश्यकता है, जिसमें टीएसएल प्रमाणपत्रों का प्रतिस्थापन शामिल है। यह संभव है कि उन Citrix ग्राहकों को जो उम्मीद करते थे कि निर्माता गंभीर कमजोरियों को खत्म करने के लिए अधिक सक्रिय कदम उठाएंगे, गंभीरता से एक विकल्प की तलाश करेंगे। हमें यह स्वीकार करना होगा कि Citrix की प्रतिक्रिया उत्साहजनक नहीं है।

जवाब से ज्यादा सवाल।

सवाल यह है कि Citrix, प्लैटिनम और सोने के कई साझेदारों ने क्या किया? केवल 2020 के तीसरे सप्ताह में ही कुछ Citrix भागीदारों के पेजों पर आवश्यक जानकारी क्यों दिखाई दी? जाहिर है, अत्यधिक भुगतान वाले बाहरी सलाहकार भी इस खतरनाक स्थिति की निगरानी करते हैं। मैं किसी को नाराज नहीं करना चाहता, लेकिन साथी का काम है, सबसे पहले, जो समस्याएं उत्पन्न होती हैं, उन्हें रोकने के लिए और उन्हें समाप्त करने में मदद करने के लिए = बेचना नहीं।

वास्तव में, इस स्थिति ने आईटी सुरक्षा के क्षेत्र में मामलों की वास्तविक स्थिति को दिखाया। कंपनियों के आईटी विभागों के दोनों कर्मचारियों और Citrix की साझेदार कंपनियों के सलाहकारों को एक सच्चाई स्पष्ट करनी चाहिए, अगर कोई भेद्यता है, तो उसे समाप्त करना होगा। खैर, एक महत्वपूर्ण भेद्यता तुरंत तय की जानी चाहिए!