Citrix patches NetScaler SAML zero-day exploited in attacks

Ci­trix ha lan­za­do par­ches de emer­gen­cia para un fallo de de­ne­ga­ción de ser­vi­cio que afec­ta a cier­tos dis­po­si­ti­vos NetS­ca­ler, el cual ha es­ta­do sien­do apro­ve­cha­do en ata­ques de tipo cero día. Este pro­ble­ma de des­bor­da­mien­to en búfer de me­mo­ria im­pac­ta a equi­pos NetS­ca­ler ADC y NetS­ca­ler Ga­te­way que uti­li­zan au­ten­ti­ca­ción SAML, y las aler­tas in­di­can que se han re­gis­tra­do in­ci­den­tes di­ri­gi­dos con­tra en­tor­nos que no con­ta­ban con las mi­ti­ga­cio­nes pre­vias.

Ante esta si­tua­ción, los fa­bri­can­tes han pues­to a dis­po­si­ción nue­vas ver­sio­nes de soft­wa­re para so­lu­cio­nar el pro­ble­ma y acon­se­jan a las or­ga­ni­za­cio­nes apli­car las ac­tua­li­za­cio­nes a la mayor bre­ve­dad po­si­ble. Asi­mis­mo, se han com­par­ti­do lis­tas de de­ne­ga­ción glo­ba­les para blo­quear di­rec­cio­nes IP ma­li­cio­sas es­pe­cí­fi­cas, y se han pro­por­cio­na­do co­man­dos orien­ta­dos a ve­ri­fi­car si los equi­pos se en­cuen­tran en ries­go de­bi­do a sus con­fi­gu­ra­cio­nes de SAML vi­gen­tes.

Por otro lado, in­ves­ti­ga­do­res de se­gu­ri­dad y ad­mi­nis­tra­do­res han es­ta­do ana­li­zan­do in­di­cios que su­gie­ren que esta de­bi­li­dad po­dría ir más allá de la de­ne­ga­ción de ser­vi­cio, abrien­do la puer­ta a una po­si­ble eje­cu­ción re­mo­ta de có­di­go. Se han ob­ser­va­do re­gis­tros con nom­bres de usua­rio de au­ten­ti­ca­ción ma­ni­pu­la­dos que con­tie­nen co­man­dos de shell des­ti­na­dos a des­car­gar y eje­cu­tar ar­chi­vos ma­li­cio­sos, lo que ha lle­va­do a que la in­ci­den­cia sea in­cor­po­ra­da al ca­tá­lo­go de vul­ne­ra­bi­li­da­des ex­plo­ta­das co­no­ci­das.