Was ist Citrix Bleed (CVE-2023-4966)? | AssistSec Wissensdatenbank

Citrix Bleed ist eine Schwachstelle in NetScaler ADC und NetScaler Gateway, mit der ein Angreifer ohne Zugangsdaten Teile des Arbeitsspeichers auslesen konnte. Darin lagen gültige Session-Tokens. Mit einem solchen Token übernahm ein Angreifer eine bestehende Sitzung samt bereits bestandener Mehrfaktorauthentifizierung. Patchen allein reichte nicht: bestehende Sitzungen mussten aktiv beendet werden.

Citrix Bleed zeigte, wie wenig ein Angreifer braucht, wenn er an das richtige Stück Speicher kommt. Die Schwachstelle gab keine Passwörter preis, sondern Session-Tokens, und die sind in der Praxis genauso brauchbar.

Was ist Citrix Bleed

NetScaler ADC und Gateway stehen meist ganz vorn im Netzwerk und regeln den VPN- und Anwendungszugang der Mitarbeiter. Durch eine besonders aufgebaute Anfrage gab das Gerät mehr zurück als die Antwort: Es lieferte auch ein Stück seines eigenen Arbeitsspeichers mit. Darin lagen gültige Session-Tokens von Mitarbeitern, die gerade angemeldet waren.

Warum ein Session-Token schwerer wiegt als ein Passwort

Ein Passwort muss noch am zweiten Faktor vorbei. Ein Session-Token ist der Nachweis, dass diese Prüfung bereits bestanden wurde. Der Angreifer setzte es in seinen eigenen Browser und war als der Mitarbeiter drin, ohne Passwort, ohne Code und ohne Meldung. Das macht den Fall zu einem der deutlichsten Praxisbeispiele für Broken Authentication.

Der Fehler, den viele Organisationen machten

Das Advisory erschien am 10. Oktober 2023. Viele Organisationen patchten binnen Tagen und hielten die Sache damit für erledigt. Tokens, die vorher gestohlen worden waren, blieben jedoch gültig. Ransomware-Affiliates nutzten sie in den Wochen danach, um doch noch bei Organisationen einzudringen, die ordentlich gepatcht hatten.

Was jetzt zu tun ist

Prüfen Sie, ob Ihr NetScaler auf einem Stand nach Oktober 2023 läuft.
Beenden Sie nach jedem Patch ausdrücklich alle aktiven und persistenten Sitzungen. Dieser Schritt wird am häufigsten übersehen.
Binden Sie Sitzungen an eine IP-Adresse oder ein Gerät, wo das möglich ist, damit ein gestohlenes Token anderswo nicht funktioniert.
Behandeln Sie Geräte am Netzwerkrand als das Kronjuwel, das sie sind. Alles, was am Internet hängt und Zugang gewährt, verdient eine kürzere Patchfrist als der Rest.

Häufige Fragen

Warum half Mehrfaktorauthentifizierung hier nicht?

MFA schützt den Moment der Anmeldung. Ein gestohlenes Session-Token gehört zu einer Sitzung, die bereits angemeldet ist, der Angreifer musste diese Prüfung also nie passieren.

Reicht Patchen aus?

Nein. Tokens, die vor dem Patch erbeutet wurden, funktionieren weiter, bis die Sitzung endet. Citrix schreibt deshalb ausdrücklich vor, nach dem Patchen alle aktiven und persistenten Sitzungen zu beenden.

Wie erkenne ich, ob es uns getroffen hat?

Suchen Sie in den Logs nach Sitzungen, die von einer anderen IP-Adresse oder einem anderen Gerät fortgesetzt werden als dort, wo sie begannen, und nach Anmeldungen, die den MFA-Schritt überspringen.

Citrix Bleed (CVE-2023-4966)