Citrix patches actively exploited NetScaler zero-days after a weekend of unofficial warnings

La em­pre­sa Ci­trix de­mo­ró va­rios días en con­fir­mar pú­bli­ca­men­te que las nue­vas vul­ne­ra­bi­li­da­des de día cero en NetS­ca­ler es­ta­ban sien­do apro­ve­cha­das ac­ti­va­men­te por ata­can­tes. Du­ran­te este pe­rio­do de si­len­cio, de­fen­so­res de redes y pro­fe­sio­na­les de la se­gu­ri­dad tu­vie­ron que reac­cio­nar ba­sán­do­se úni­ca­men­te en ad­ver­ten­cias in­for­ma­les com­par­ti­das por in­ves­ti­ga­do­res, ase­gu­ra­do­ras y otros cen­tros de res­pues­ta, lo cual ge­ne­ró fuer­tes crí­ti­cas por parte de los clien­tes afec­ta­dos.

Fi­nal­men­te, la com­pa­ñía pu­bli­có un aviso de se­gu­ri­dad para re­ve­lar las fa­llas que per­mi­ten la eje­cu­ción re­mo­ta de có­di­go y lanzó los par­ches co­rres­pon­dien­tes junto con co­rrec­cio­nes para otros de­fec­tos. Entre las fa­llas des­ta­ca un pro­ble­ma de in­yec­ción de co­man­dos que im­pac­ta a todos los equi­pos con­fi­gu­ra­dos por de­fec­to, su­ma­do a la exis­ten­cia pú­bli­ca de un có­di­go de prue­ba para su ex­plo­ta­ción, mien­tras que otra em­pre­sa de ci­ber­se­gu­ri­dad de­tec­tó de­ce­nas de miles de ins­tan­cias ex­pues­tas pú­bli­ca­men­te.

Or­ga­nis­mos gu­ber­na­men­ta­les in­cor­po­ra­ron los fa­llos re­cién re­ve­la­dos a su ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das, y di­ver­sos lí­de­res de la in­dus­tria de la se­gu­ri­dad emi­tie­ron aler­tas ur­gen­tes a tra­vés de redes so­cia­les. Re­pre­sen­tan­tes de ase­gu­ra­do­ras y de fir­mas de ci­ber­se­gu­ri­dad re­cri­mi­na­ron la falta de co­mu­ni­ca­ción opor­tu­na por parte del pro­vee­dor, se­ña­lan­do que los usua­rios se vie­ron obli­ga­dos a de­pen­der de ca­na­les no ofi­cia­les para en­te­rar­se de una ame­na­za crí­ti­ca que afec­ta a in­fra­es­truc­tu­ra esen­cial.