Verschillende bronnen melden dat twee bugs bij Citrix nog steeds actief worden uitgebuit. Eentje is intussen bijna een oude bekende.
Twee bugs in producten van Citrix worden momenteel nog steeds uitgebuit door cybercriminelen. Het bedrijf lanceerde nochtans al wel patches voor deze kwetsbaarheden.
Van je één
De eerste bug waar sprake van is, kreeg code CVE-2023-24489 mee. Ze scoort 9,8 op de CVSS-schaal, wat dus zeer ernstig is. Deze kwetsbaarheid is te vinden in ShareFile, een product van Citrix om bestanden en content te delen en synchroniseren of eraan samen te werken. Het systeem wordt ook gebruikt om data op te slaan, on premise of in de cloud.
Via deze bugs kunnen aanvallers vanop afstand de controle overnemen van de opslagzones van het systeem. De kwetsbaarheid komt voor in alle versies van voor nummer 5.11.24. Citrix publiceerde intussen een overzicht, met advies en updates. Dat geldt wel alleen voor bedrijven die zelf hun opslagzones controleren. Wie dat via de cloud doet, hoeft geen stappen te ondernemen. Intussen kwam CVE-2023-24489 ook op de radar van het Amerikaanse Cybersecurity and Infrastructure Security Agency terecht.
Van je twee
Over bug nummer twee hebben we eerder al bericht: CVE-2023-3519. Deze kwetsbaarheid compromitteert de Netscaler-producten ADC en Gateway van Citrix, software om de toegang tot netwerken te managen. Dit is ook nog steeds een ernstige dreiging, met een CVSS-score van eveneens 9,8.
Citrix bracht hier al even geleden patches en advies voor uit, samen met die voor nog twee andere bugs, maar blijkbaar is er door admins en andere gebruikers nog steeds niet voldoende geüpdatet. Dat wil zeggen dat aanvallers nog steeds vanop afstand kwaadaardige code kunnen uitvoeren. Het mag geen verrassing zijn dat ook deze bug al even bekend is bij het CISA.
lees ook
Citrix stopt ondersteuning van eeuwigdurende licenties
Snelheid troef
Het is een aambeeld waarop we mee zullen blijven hameren tot het is afgesleten, update je systemen zo snel mogelijk en elke keer wanneer er een nieuwe beschikbaar is. Het CISA gaf getroffen Amerikaanse agentschappen de deadline van 6 september om patches en updates in orde te brengen, maar haast en spoed zijn in gevallen als dit wel degelijk goed.
Geen enkel systeem is waterdicht en kwetsbaarheden zijn nu eenmaal steeds een mogelijke realiteit. Bedrijven als Citrix kunnen dan wel advies geven en updates voorzien, maar het zijn uiteindelijk de admins en gebruikers die ermee aan de slag moeten.