Citrix Bleed (CVE-2023-4966)

Citrix Bleed liet zien hoe weinig een aanvaller nodig heeft als hij het juiste stukje geheugen te pakken krijgt. De kwetsbaarheid lekte geen wachtwoorden, maar sessietokens, en die zijn in de praktijk net zo bruikbaar.

Wat is Citrix Bleed

NetScaler ADC en Gateway staan vaak vooraan in het netwerk: ze regelen de VPN- en applicatietoegang van medewerkers. Door een speciaal opgebouwd verzoek te sturen gaf het apparaat meer terug dan het antwoord: het stuurde ook een stuk van zijn eigen werkgeheugen mee. In dat geheugen stonden geldige sessietokens van medewerkers die op dat moment waren ingelogd.

Waarom een sessietoken zwaarder weegt dan een wachtwoord

Een wachtwoord moet nog langs de tweede factor. Een sessietoken is het bewijs dat die controle al is doorstaan. De aanvaller plakte het token in zijn eigen browser en was binnen als de medewerker, zonder wachtwoord, zonder code en zonder melding. Dat maakt dit een van de duidelijkste praktijkvoorbeelden van broken authentication.

De fout die veel organisaties maakten

Het advies verscheen op 10 oktober 2023. Veel organisaties patchten binnen enkele dagen en beschouwden de zaak daarmee als afgehandeld. Tokens die daarvoor al waren gestolen, bleven echter gewoon geldig. Ransomware-affiliates gebruikten die tokens in de weken erna om alsnog binnen te komen bij organisaties die netjes hadden gepatcht.

Wat u nu moet doen

• Controleer of uw NetScaler op een versie draait van na oktober 2023.
• Beëindig na elke patch expliciet alle actieve en persistente sessies. Dit is de stap die het vaakst wordt overgeslagen.
• Koppel sessies aan een IP-adres of apparaat waar dat kan, zodat een gestolen token elders niet werkt.
• Behandel apparatuur aan de rand van het netwerk als de kroonjuwelen die het is. Alles wat aan het internet hangt en toegang verleent, verdient een kortere patchtermijn dan de rest.