Citrix et la CVE-2023-3519 : 15 000 serveurs exposés sur Internet sont vulnérables !
Plusieurs milliers de serveurs Citrix NetScaler ADC et NetScaler Gateway sont exposés sur Internet et vulnérables à la faille de sécurité critique CVE-2023-3519 ! Chers admins, il est temps de patcher vos serveurs en urgence !
Pour rappel, les produits NetScaler ADC et NetScaler Gateway, que l'on appelait auparavant Citrix ADC et Citrix Gateway, sont concernés par une faille de sécurité critique associée à la référence CVE-2023-3519. En l'exploitant, un attaquant non authentifié peut exécuter du code à distance sur l'appliance Citrix, ce qui permet une compromission complète. Son score CVSS : 9.8 sur 10 !
D'après les chercheurs en sécurité de la Shadowserver Foundation, il y aurait au moins 15 000 appliances exposées sur Internet qui sont vulnérables à cette faille de sécurité. Sur Twitter, ils précisent : "Nous marquons toutes les IP où nous voyons un hash de version dans une instance Citrix. Ceci est dû au fait que Citrix a supprimé les informations de version dans les révisions récentes." - A partir du moment où cette information est présente, c'est que l'appliance n'a pas reçu le dernier correctif. Ceci signifie aussi qu'il y a des versions plus récentes, où la version est masquée, mais qui sont tout de même vulnérables : 15 000 appliances, c'est malheureusement le minimum.
Au-delà du fait que la version soit vulnérable, le serveur Citrix doit être configuré comme une passerelle (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) ou un serveur virtuel AAA afin que l'attaquant puisse tirer profit de la CVE-2023-3519.
La carte ci-dessous (accessible ici) montre où se situent les serveurs vulnérables. On peut voir qu'il y a 314 serveurs vulnérables identifiés en France.
Quelles sont les versions vulnérables ? Comment se protéger ?
Voici la liste des versions vulnérables fournies par Citrix :
- NetScaler ADC et NetScaler Gateway 13.1 avant la version 13.1-49.13
- NetScaler ADC et NetScaler Gateway 13.0 avant la version 13.0-91.13
- NetScaler ADC 13.1-FIPS avant la version 13.1-37.159
- NetScaler ADC 12.1-FIPS avant la version 12.1-55.297
- NetScaler ADC 12.1-NDcPP avant la version 12.1-55.297
Les versions qui intègrent les correctifs de sécurité sont mises en gras dans la liste ci-dessus ! Les mises à jour sont disponibles depuis le 18 juillet 2023, alors n'attendez plus car des attaques sont en cours !
