Markt + Trends | Systemmanagement | iX

Citrix-Zero-Day-Lücke: Auf der Suche nach Angriffsspuren

Eine kritische Schwachstelle in NetScaler-Appliances wurde ausgenutzt, bevor Citrix Updates bereitstellte. Eine Anleitung zeigt, wie man die Angriffsspuren entdeckt.

Eine Zero-Day-Schwachstelle in den Netzwerkkomponenten NetScaler Gateway und NetScaler ADC ermöglicht Unauthenticated Remote Code Execution bei einem aus dem Internet erreichbaren Dienst. Damit ist es in kürzester Zeit möglich, viele Systeme anzugreifen und zu übernehmen. Citrix hat Updates bereitgestellt, doch Angriffe erfolgten schon vorher. IT-Verantwortliche sollten deshalb prüfen, ob die eigenen Systeme betroffen sind.

NetScaler-Appliances von Citrix sind von einer leicht ausnutzbaren Zero-Day-Lücke betroffen.

Citrix

Auf deyda.net (siehe ix.de/zu6u) ist eine ausführliche Anleitung erschienen, mit deren Hilfe sich prüfen lässt, ob die eigenen Citrix-Systeme bereits Opfer eines Angriffs geworden sind. Im Fokus stehen bei einer Überprüfung die Dateizeitstempel, die sich gewöhnlich nur bei NetScaler-Updates verändern. Am Datum der entpackten Installationspakete können Admins erkennen, wann das letzte Update stattgefunden hat. Nach einem Log-in mit ns-root oder einem anderen administrativen Zugang findet der Befehl shell ls -ll /var/nsinstall die entpackten Installationsdateien und damit deren Datum. Anhand der Ergebnisse lassen sich modifizierte Dateien schnell aufspüren.