Citrix Bleed (CVE-2023-4966)
Faille des boîtiers NetScaler ADC et Gateway publiée le 10 octobre 2023, qui laissait fuiter des jetons de session et contournait l'authentification multifacteur ; exploitée par des affiliés de LockBit.
Le 8 novembre 2023, ICBC Financial Services, filiale américaine de la banque chinoise ICBC, est paralysée par un rançongiciel, et des transactions sur bons du Trésor américain ne se règlent pas à temps. Boeing avait été touché fin octobre ; DP World Australia suit en novembre. Le point d'entrée cité pour ces attaques est Citrix Bleed, la CVE-2023-4966, publiée le 10 octobre 2023. Les boîtiers NetScaler ADC et Gateway, qui servent de porte d'accès à distance, laissaient lire une partie de leur mémoire, et avec elle des jetons de session valides. Avec un jeton, l'attaquant reprend une session déjà ouverte : ni mot de passe, ni second facteur à fournir, l'authentification multifacteur a déjà eu lieu. Des affiliés de LockBit en ont fait leur outil d'entrée. Pour un souscripteur, la leçon tient en une phrase : corriger ne suffisait pas. Une entreprise qui appliquait le correctif sans invalider les sessions ouvertes laissait en place les jetons déjà volés, et a pu être compromise après avoir patché. La question du questionnaire « appliquez-vous les correctifs critiques sous X jours ? » ne capte pas ce cas ; la bonne question porte sur la procédure après correctif. Second point, le cumul : un même modèle de boîtier, exposé sur Internet chez des milliers d'assurés, ouvre une sinistralité en série sur un portefeuille, sans qu'aucune attaque soit coordonnée. À ne pas confondre avec une faille zero-day : Citrix Bleed a été massivement exploitée après sa publication et son correctif ; le défaut était l'exécution du correctif, plus que son absence.
Cas daté : en novembre 2023, un assureur cyber croise son portefeuille avec un balayage externe et trouve 140 assurés exposant un NetScaler Gateway. Il leur écrit à tous : appliquer le correctif ne ferme pas la porte, il faut aussi terminer les sessions actives. Trois semaines plus tard, deux de ces assurés déclarent un rançongiciel. Les deux avaient patché dans les jours suivant le 10 octobre, sans purger les sessions. Le dossier de sinistre retient la date d'entrée de l'attaquant, antérieure au correctif, ce qui écarte toute discussion sur un défaut de mise à jour.
Citrix Bleed, CVE-2023-4966, faille NetScaler 2023, faille Citrix NetScaler
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.