Более 15K серверов Citrix Netscaler уязвимы к эксплойту CVE-2023-3519 RCE

Более 15K серверов Citrix Netscaler уязвимы к эксплойту CVE-2023-3519 RCE

Проверка, проведенная НКО Shadowserver Foundation, показала, что тысячи доступных из интернета серверов Citrix Netscaler ADC и Gateway содержат критическую уязвимость, для которой вендор выкатил экстренный патч неделю назад.

Согласно бюллетеню Citrix, проблема безопасности CVE-2023-3519 (9,8 балла CVSS) позволяет удаленно выполнить произвольный код в системе. Эксплойт не требует аутентификации и возможен, когда сервер сконфигурирован как шлюз (VPN-сервер или клиент, ICA-прокси, RDP-прокси) либо виртуальный сервер аутентификации (AAA).

Заплатка для контроллеров приложений и шлюзов безопасности, ранее продававшихся под брендом Netscaler, была в срочном порядке выпущена 18 июля. Пользователей призвали как можно скорее установить обновления, так как злоумышленники уже используют уязвимость в атаках.

Через пару дней участники Shadowserver Foundation поискали в интернете Citrix-серверы и обнаружили, что 15 тыс. экземпляров Netscaler ADC и Gateway непропатчены и уязвимы к эксплойту CVE-2023-3519. Большинство таких потенциальных мишеней расположены в США, Германии и Великобритании.

 

Идентификация осуществлялась по наличию данных о версии (хеша пакета). Поскольку Citrix недавно перестала указывать эту информацию, некоторые уязвимые экземпляры софта не вошли в собранную статистику.

Американское Агентство по кибербезопасности (CISA) опубликовало алерт о CVE-2023-3519, в котором сказано, что в июне данная уязвимость засветилась как 0-day в атаке на объект критической инфраструктуры США. После отработки эксплойта в систему был сброшен веб-шелл, позволяющий добраться до Active Directory с целью сбора и вывода конфиденциальных данных. К счастью, попытка горизонтального перемещения сорвалась: сеть оказалась сегментированной, и несанкционированный доступ к контроллеру домена был успешно заблокирован.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вышла R-Vision TIP 3.16 с переработанным сервисом фида ФинЦЕРТ

R-Vision выпустила новую версию платформы анализа информации о киберугрозах — R‑Vision TIP 3.16. Версия 3.16 включает в себя ряд существенных обновлений.

Разработчик расширил список поддерживаемых SIEM-систем и межсетевых экранов, переработал сервис фида ФинЦЕРТ, а также улучшил собственный источник данных — R-Vision Threat Feed, который теперь может самостоятельно определять связи между сущностями, странами и отраслями субъектов угроз.

Одна из функций платформы R-Vision TIP — возможность реактивного и ретроспективного поиска индикаторов компрометации внутри потока событий, поступающих от SIEM-систем. После ухода с российского рынка иностранных поставщиков SIEM, усилилась необходимость расширения списка отечественных вендоров. Платформа R-Vision TIP поддерживает интеграцию не только с популярными зарубежными решениям, но и с отечественными SIEM-системами. Так, в обновленной версии продукта вендор добавил новые интеграции с такими российскими системами, как VolgaBlob Smart Monitor и Kaspersky Unified Monitoring and Analysis Platform.

Также в обновлении R-Vision расширил список поддерживаемых сторонних производителей СЗИ для экспорта индикаторов компрометации. Обнаруженные индикаторы компрометации могут автоматически экспортироваться на межсетевые экраны для дальнейшей обработки и защиты сетевой инфраструктуры. В новой версии платформы перечень доступных для интеграции решений вендоров пополнился отечественным производителем межсетевых экранов Ideco UTM. Кроме того, добавлена новая возможность настраивать интеграцию и правила экспорта индикаторов из R-Vision TIP в Kaspersky Security Network.

Команда R-Vision TIP продолжает развивать свой собственный фид, интегрированный в платформу. Он автоматически собирает TI-отчеты из достоверных открытых источников, а также извлекает из них ключевые артефакты Threat Intelligence. В обновленной версии R-Vision Threat Feed в 11 раз увеличен датасет для обучения модели распознавания артефактов TI и существенно выросла точность распознавания сущностей: теперь модель умеет определять непосредственные связи между сущностями, а также страны и индустрии субъектов угроз и жертв.

В версии R-Vision TIP 3.16 разработчики расширили модель данных, добавив в нее новые типы индикаторов — ИНН, СНИЛС, хэш суммы номеров паспортов, номера счетов, электронных кошельков и телефонов. Эта информация загружается в R-Vision TIP из нового источника данных — АС «Фид-Антифрод», который содержит информацию о получателях скомпрометированных переводов. В ранних версиях платформы R-Vision TIP пользователь мог получать информацию через основной канал об инцидентах Банка России, фидом АСОИ ФинЦЕРТ.

Зачастую информация, полученная от поставщиков данных, лишена контекста, необходимого для анализа индикаторов компрометации и/или связанных с ними событий нарушения безопасности. В рамках планомерного расширения источников получения контекста в новой версии R-Vision TIP была реализована поддержка двух новых сервисов обогащения UrlScan и URLhaus.

«Данные киберразведки являются ключевым элементом для анализа угроз, поэтому список поставщиков данных TI будет и далее пополняться в R-Vision TIP — прокомментировала Валерия Чулкова, руководитель продукта R-Vision TIP. — Кроме того, команда R-Vision TIP также продолжит расширение списка поддерживаемых СЗИ отечественных производителей, что особенно важно в связи со сложившейся конъюнктурой рынка информационной безопасности».

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru