От Германии до Бразилии: глобальное распространение угрозы для серверов Citrix

По данным Shadowserver Foundation, сотни серверов Citrix NetScaler ADC и Gateway были взломаны злоумышленниками для развертывания веб-оболочек.

Некоммерческая организация заявила, что в ходе атак эксплуатируется критическая уязвимость внедрения кода CVE-2023-3519 (CVSS 9.8) , которая приводит к удаленному выполнению кода (Remote Code Execution, RCE) без проверки подлинности. О недостатке стало известно ещё в июле, когда компания Citrix сообщила об ошибке корпоративным пользователям NetScaler ADC и NetScaler Gateway.

Наибольшее количество затронутых IP-адресов находится в Германии, Франции, Швейцарии, Италии, Швеции, Испании, Японии, Китае, Австрии и Бразилии.

Компания Assetnote, которая обнаружила и сообщила об ошибке, проследила ее до более простой версии атаки оракула заполнения (Padding Oracle), которая позволяет раскрыть ключи шифрования.

Citrix не раскрыла дополнительных подробностей о данной уязвимости. Однако сейчас достоверно известно, что для успешной эксплуатации CVE-2023-3519 требуется, чтобы устройство было настроено как шлюз (виртуальный сервер VPN, ICA-прокси, CVPN, RDP-прокси) или виртуальный сервер авторизации и учёта (AAA).