Dual NetScaler Zero-Days Trigger Chaos for Citrix Customers

La em­pre­sa Ci­trix re­ve­ló re­cien­te­men­te dos fa­llas crí­ti­cas de se­gu­ri­dad de tipo zero-day que afec­tan las con­fi­gu­ra­cio­nes pre­de­ter­mi­na­das de sus so­lu­cio­nes NetS­ca­ler Ap­pli­ca­tion De­li­very Con­trol y Ga­te­way. Ambas vul­ne­ra­bi­li­da­des per­mi­ten la eje­cu­ción re­mo­ta de có­di­go y una de ellas tam­bién puede fa­ci­li­tar ata­ques de de­ne­ga­ción de ser­vi­cio dis­tri­bui­da, lo que re­pre­sen­ta un ries­go grave para las redes de los usua­rios al otor­gar a los agre­so­res un ac­ce­so total.

Antes de la di­vul­ga­ción ofi­cial por parte del fa­bri­can­te, co­men­za­ron a cir­cu­lar en in­ter­net ru­mo­res y aler­tas tem­pra­nas sobre estos pro­ble­mas a tra­vés de pla­ta­for­mas so­cia­les y avi­sos de cen­tros de ci­ber­se­gu­ri­dad, lo que ge­ne­ró des­con­cier­to y di­fi­cul­ta­des de co­mu­ni­ca­ción. Di­ver­sos ex­per­tos cri­ti­ca­ron el si­len­cio ini­cial de la com­pa­ñía ante las de­nun­cias de ata­ques ac­ti­vos, se­ña­lan­do que la falta de in­for­ma­ción opor­tu­na dejó a los ad­mi­nis­tra­do­res li­dian­do con pá­ni­co y dudas sobre si de­bían apa­gar sus dis­po­si­ti­vos.

Los ana­lis­tas han ad­ver­ti­do sobre la alta pe­li­gro­si­dad de estas fa­llas de­bi­do a que re­sul­tan sen­ci­llas de ex­plo­tar y com­pro­me­ten im­ple­men­ta­cio­nes es­tán­dar co­nec­ta­das a in­ter­net en nu­me­ro­sas or­ga­ni­za­cio­nes de gran en­ver­ga­du­ra y sec­to­res de in­fra­es­truc­tu­ra crí­ti­ca. Ante esta si­tua­ción, se ha acon­se­ja­do apli­car ac­tua­li­za­cio­nes de soft­wa­re de in­me­dia­to o, en caso de no poder ha­cer­lo, eva­luar la des­co­ne­xión tem­po­ral de los equi­pos afec­ta­dos.