विशेषज्ञों ने दावा किया है कि कई Citrix ADC और गेटवे सर्वर उच्च-गंभीरता वाले दोषों की चपेट में हैं, जिन्हें कथित तौर पर कंपनी द्वारा हफ्तों पहले पैच किया गया था।
नवंबर 2022 की शुरुआत में, Citrix ने CVE-2022-27510 के रूप में ट्रैक किए जाने के बाद से “गेटवे उपयोगकर्ता क्षमताओं तक अनधिकृत पहुंच” दोष को उजागर किया और पैच किया। दोनों उत्पादों को प्रभावित करते हुए, यह एक हमलावर को अंतिम बिंदुओं को लक्षित करने के लिए अधिकृत पहुंच प्राप्त करने की अनुमति देता है (नए टैब में खुलता है)उपकरणों को दूरस्थ रूप से संभालें, और डिवाइस की ब्रूट फ़ोर्स लॉगिन सुरक्षा को बायपास करें।
मोटे तौर पर एक महीने बाद, दिसंबर के मध्य में, कंपनी ने CVE-2022-27518 के रूप में ट्रैक किए जाने के बाद से “अप्रमाणित दूरस्थ मनमाना कोड निष्पादन” दोष तय किया। यह थ्रेट एक्टर्स को दूरस्थ रूप से लक्ष्य समापन बिंदु पर दुर्भावनापूर्ण कोड निष्पादित करने की अनुमति देता है।
एनएसए चेतावनी
एनसीसी ग्रुप की फॉक्स आईटी टीम के शोधकर्ताओं का दावा है कि दोनों का 9.8/10 गंभीरता स्कोर है, और उनमें से कम से कम एक शून्य दिन के रूप में जंगली में दुर्व्यवहार किया गया था।
वास्तव में, अमेरिकी राष्ट्रीय सुरक्षा एजेंसी (NSA) ने दिसंबर की शुरुआत में चेतावनी दी थी कि चीनी राज्य द्वारा समर्थित एक हैकिंग सामूहिक बाद की भेद्यता को शून्य-दिन सुरक्षा दोष के रूप में शोषण कर रहा था।
उसके बाद, एक आधिकारिक ब्लॉग पोस्ट में, Citrix पीटर लेफकोविट्ज़ के मुख्य सुरक्षा और ट्रस्ट अधिकारी ने दावा किया कि “इस भेद्यता के सीमित कारनामों की सूचना दी गई है,” लेकिन इसमें शामिल हमलों या उद्योगों की संख्या के बारे में विस्तार से नहीं बताया।
कभी-कभी मैंगनीज के रूप में संदर्भित, खतरे के अभिनेताओं के इस समूह ने स्पष्ट रूप से सोशल इंजीनियरिंग और फ़िशिंग हमलों के माध्यम से साख को चोरी किए बिना संगठनात्मक सुरक्षा के माध्यम से तोड़ने के लिए इन Citrix अनुप्रयोगों को चलाने वाले नेटवर्क को स्पष्ट रूप से लक्षित किया है।
शोधकर्ताओं ने यह भी कहा है कि फ़िक्सेस जारी होने के बाद से अधिकांश एंडपॉइंट्स को पैच कर दिया गया था, लेकिन वहाँ “हजारों” कमजोर सर्वर हैं। 11 नवंबर 2022 तक, कम से कम 28,000 साइट्रिक्स सर्वर जोखिम में पाए गए थे।
“हमें उम्मीद है कि यह ब्लॉग इन दो साइट्रिक्स सीवीई के लिए अतिरिक्त जागरूकता पैदा करता है और संस्करण पहचान पर हमारा शोध भविष्य के अध्ययन में योगदान देता है,” शोधकर्ताओं ने निष्कर्ष निकाला।
के जरिए: ब्लीपिंग कंप्यूटर (नए टैब में खुलता है)