Citrix Bleed, Citrix NetScaler ADC ve Gateway cihazlarında 2023 sonlarında geniş çapta istismar edilen kritik bir zafiyettir. Cihaza özel biçimlendirilmiş bir istek gönderen saldırgan, aygıtın belleğinden geriye kalan verileri okuyabilir ve bu artıkların içinde geçerli kullanıcı oturum belirteçlerini yakalayarak kimlik doğrulamayı tamamen atlatır.

Citrix Bleed, tek bir isteğin cihaz belleğinden geçerli oturum anahtarlarını sızdırarak parolayı da çok faktörlü doğrulamayı da gereksiz kılabileceğini gösterdi.

Bellek Sızıntısı Nasıl Oluşur?

Zafiyet, cihazın belirli bir HTTP uç noktasını işlerken bellek tamponunu gereğinden fazla okumasından kaynaklanır. Saldırgan bir alan adı başlığını aşırı uzun gönderdiğinde, cihaz kendisine ayrılan tampon sınırının ötesine geçip komşu bellekteki verileri yanıtına ekler. Bu klasik bellek dışı okuma davranışı, ismini de buradan alır: cihaz belleğinden sürekli veri sızdırdığı için ‘bleed’, yani sızma olarak adlandırılır.

Sızan verinin içinde en değerli parça, geçerli kullanıcı oturumlarına ait belirteçlerdir. Saldırgan aynı isteği defalarca tekrarlayarak bellekten farklı oturum belirteçleri toplayabilir. Bu isteklerin hiçbiri kimlik doğrulama gerektirmez; yani saldırganın önceden bir hesaba, parolaya veya erişim iznine ihtiyacı yoktur.

MFA Neden İşe Yaramaz?

Ele geçirilen oturum belirteci, kullanıcının parola ve çok faktörlü doğrulama adımlarını çoktan geçtikten sonra oluşturulmuş bir anahtardır. Saldırgan bu belirteci kendi tarayıcısına yerleştirdiğinde, sistem onu kimliği doğrulanmış gerçek kullanıcı sanır. Böylece güçlü bir MFA yapılandırması bile devre dışı kalır, çünkü saldırgan doğrulama sürecinin çıktısını çalmıştır, sürecin kendisiyle uğraşmamıştır.

Bu erişimle saldırganlar iç ağa yayıldı; birçok vakada elde edilen erişim veri sızdırma için ve ardından fidye yazılımı dağıtmak için kullanıldı. Citrix Bleed, özellikle büyük kurumsal ağlara açılan bir dış kapı olduğu için tehdit gruplarının ilk erişim vektörü olarak hızla benimsendi.

Müdahale ve Önlem

• Etkilenen NetScaler sürümlerinin üreticinin yayınladığı yamalarla derhal güncellenmesi
• Yalnızca yama yetmeyeceği için, mevcut tüm aktif oturumların zorla sonlandırılması
• Yama öncesi döneme ait log ve oturum kayıtlarının olası sızıntı için incelenmesi
• İnternete açık yönetim ve VPN cihazlarının erişiminin mümkün olduğunca daraltılması

Citrix Bleed’de en sık yapılan hata, yamayı uygulamanın yeterli sanılmasıdır; oysa yama öncesinde çalınmış oturum belirteçleri, cihaz güncellendikten sonra bile geçerliliğini koruyabilir. Bu yüzden aktif oturumların temizlenmesi zorunludur ve düzenli yama yönetimi disiplini bu tür açıkların istismar penceresini kısaltır. Bir ihlal şüphesi varsa Privia Security’nin olay inceleme ve olay müdahalesi ekibi, sızmanın kapsamını ve saldırganın hangi belirteçleri kullandığını belirleyerek doğru müdahale adımlarını yönetir.