Поделиться
Хакеры взялись за свежераскрытую уязвимость в продуктах Citrix NetScaler
Исследователи в сфере кибербезопасности обвиняют Citrix в неполном раскрытии данных о новом «баге». Компания отмалчивается.
Работа над ошибками
Хакеры активно используют недавно обнаруженную уязвимость CVE-2026-3055 в устройствах Citrix NetScaler ADC и NetScaler Gateway для кражи существенных данных. Вендор пытался понизить важность выявленного «бага», но это не вызвало понимания у различных специалистов по кибербезопасности, которые считают, что CVE-2026-3055 слишком уж напоминает две другие критические уязвимости - CitrixBleed и CitrixBleed2, выявленные в 2023 и 2025 годах, соответственно.
Citrix раскрыл подробности CVE-2026-3055 23 марта. Согласно выпущенному бюллетеню, уязвимость затрагивает версии указанных продуктов до индексов 14.1-60.58, 13.1-62.23 и 13.1-37.262.
Как утверждает вендор, «баг» может эксплуатироваться только для тех устройств, которые настроены как SAML-провайдеры идентификации в корпоративных сетях. В бюллетене говорится, что только администраторы локальных систем (on-premise) должны срочно установить патчи.
Многие специалисты по кибербезопасности, однако, считают, что новая уязвимость составляет серьёзный и масштабный риск.
Тем более, что активная эксплуатация уже началась.
В минувшую субботу исследователи фирмы watchTowr отметили повышенную «разведывательную активность» в отношении потенциально уязвимых устройств, и предупредили, что начало активной эксплуатации - вопрос довольно короткого времени.
А уже на следующий день подтвердились первые кибератаки: «Практическая эксплуатация началась; данные с нашей сети honeypot-детекторов подтвердила эксплуатацию [уязвимости] со стороны IP, принадлежащего известному кластеру угроз, датированную 27 марта», - написали исследователи.
В случае успешной эксплуатации злоумышленники могут получить идентификаторы административных сессий, что в теории может приводить к полному захвату контроля над устройствами NetScaler.
Уязвимостей, на самом деле, две
Анализ со стороны watchTowr показывает, что CVE-2026-3055, на самом деле, представляет собой сразу две уязвимости некорректной обработки памяти. Первая затрагивает компонент /saml/login (отвечает за SAML-авторизацию), второй - /wsfed/passive - за пассивную аутентификацию WS-Federation.
В связи с этим бюллетень Citrix был назван в публикации watchTowr «не вполне честным», поскольку не полностью раскрывал суть проблемы.
«Попытки преуменьшить степень угрозы обычно приводят лишь к увеличению репутационного ущерба, - отмечает Дмитрий Пешков, эксперт по информационной безопасности компании SEQ. - Не представив полную информацию, Citrix подставились сами и, как минимум, теоретически подставили многих администраторов уязвимых систем».
В помощь администраторам исследователи опубликовали скрипт, который поможет определить уязвимые хосты в их цифровых средах.
По состоянию на 28 марта исследователи компании The ShadowServer Foundation выявили не менее 29 000 устройств NetScaler ADC и 2250 NetScaler Gateway, доступных из Сети. Точных данных о том, какая их доля уязвима, нет.
Поделиться
Короткая ссылка
