- Une vulnérabilité grave touche les équipements Citrix NetScaler ADC et NetScaler Gateway, utilisés pour sécuriser les accès distants en entreprise.
- Cette faille est activement exploitée : des attaquants s’en servent pour compromettre des systèmes sans avoir besoin de mot de passe.
- Citrix et les autorités recommandent d’appliquer les correctifs disponibles sans attendre et d’analyser les journaux de connexion.
De quoi s’agit-il ?
Citrix NetScaler ADC et NetScaler Gateway sont des équipements réseau répandus dans les entreprises. Ils servent notamment à gérer les accès à distance sécurisés (VPN, portails web…). Une faille de sécurité critique a été identifiée dans ces produits, et elle est exploitée activement par des cybercriminels depuis octobre 2023.
Concrètement, un attaquant peut tirer parti de cette vulnérabilité pour prendre le contrôle d’un équipement exposé sur Internet, sans avoir besoin d’identifiants valides. Ce type de faille est particulièrement dangereux car il peut servir de point d’entrée vers tout le réseau de l’entreprise.
Qui est concerné ?
Toute organisation qui dispose d’un équipement Citrix NetScaler ADC ou NetScaler Gateway accessible depuis Internet est potentiellement exposée. Si vous n’êtes pas sûr de l’utiliser, renseignez-vous auprès de votre prestataire informatique ou DSI.
Attendre que « quelqu’un s’en occupe » sans vérifier. Si votre prestataire gère cet équipement, contactez-le explicitement pour confirmer que le correctif a bien été appliqué et que les journaux ont été examinés. Ne supposez pas que c’est déjà fait.
Ce que les autorités recommandent
Le 20 novembre 2023, Citrix a publié un document détaillant quels journaux analyser et quels éléments rechercher pour détecter une éventuelle compromission. Le lendemain, la CISA (l’agence américaine de cybersécurité) a également publié un avis de sécurité allant dans le même sens.
L’objectif : permettre aux équipes techniques de vérifier si un équipement a déjà été compromis, même avant l’application du correctif.
Si vous avez appliqué le correctif mais que vous n’avez pas vérifié les journaux avant de le faire, l’équipement a peut-être déjà été compromis. Corriger une faille n’efface pas une intrusion passée. Demandez à votre prestataire de vérifier les traces d’activité suspecte sur la période précédant la mise à jour.
Ce qu’il faut faire concrètement
Contactez immédiatement votre prestataire informatique pour savoir si vous utilisez un équipement Citrix NetScaler ADC ou NetScaler Gateway. Si c’est le cas, demandez-lui de confirmer que le correctif publié par Citrix a été appliqué, et que les journaux ont été analysés pour écarter toute compromission antérieure. En cas de doute sur une intrusion, ne tardez pas à faire appel à un professionnel en sécurité informatique.
Source : Alerte CERT-FR – CERTFR-2023-ALE-012
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.