ABD Ulusal Güvenlik Ajansı, Çin hükümeti destekli bilgisayar korsanlarının, hedeflenen ağlara erişim elde etmek için yaygın olarak kullanılan iki Citrix ağ ürünündeki sıfırıncı gün güvenlik açığından yararlandıkları konusunda uyarıda bulunuyor.
CVE-2022-27518 olarak izlenen kusur, bir uygulama dağıtım denetleyicisi olan Citrix ADC’yi ve bir uzaktan erişim aracı olan Citrix Gateway’i etkiliyor ve her ikisi de kurumsal ağlarda popüler. Kritik dereceli güvenlik açığı, kimliği doğrulanmamış bir saldırganın savunmasız cihazlarda uzaktan kötü amaçlı kod çalıştırmasına olanak tanır – parola gerekmez. Citrix ayrıca kusurun tehdit aktörleri tarafından aktif olarak kullanıldığını söylüyor.
Citrix baş güvenlik ve güven yetkilisi Peter Lefkowitz bir blog yazısında, “Bu güvenlik açığını kullanan vahşi doğada az sayıda hedefli saldırı olduğunun farkındayız” dedi. “Bu güvenlik açığından sınırlı yararlanıldığı bildirildi.” Citrix, hedeflenen kuruluşların hangi sektörlerde olduğunu veya kaç tanesinin güvenliğinin ihlal edildiğini belirtmedi. Bir Citrix sözcüsü, TechCrunch’ın sorularına hemen yanıt vermedi.
Citrix Pazartesi günü güvenlik açığı için bir acil durum düzeltme eki yayınladı ve etkilenen Citrix ADC ve Citrix Gateway sürümlerini kullanan müşterileri güncellemeleri hemen yüklemeye çağırıyor.
Citrix, vahşi saldırılar hakkında daha fazla ayrıntı paylaşmadı. Bununla birlikte, ayrı bir danışma belgesinde NSA, kötü şöhretli bir Çinli bilgisayar korsanlığı grubu olan APT5’in, önce kimlik bilgilerini çalmak zorunda kalmadan kuruluşlara girmek için Citrix ADC’leri aktif olarak hedef aldığını söyledi. Teşkilat ayrıca tehdit avı rehberliği de sağladı. [PDF] güvenlik ekipleri için kamu ve özel sektör arasında istihbarat paylaşımı istendi.
En az 2007’den beri aktif olan APT5, büyük ölçüde siber casusluk kampanyaları yürütüyor ve askeri uygulamalar geliştirenler de dahil olmak üzere teknoloji şirketlerini ve bölgesel telekomünikasyon sağlayıcılarını hedef alma geçmişine sahip. Siber güvenlik firması FireEye daha önce APT5’i “genellikle farklı taktikler ve altyapıya sahip, birkaç alt gruptan oluşan büyük bir tehdit grubu” olarak tanımlamıştı.
Geçen yıl APT5, genellikle bilgisayar korsanları tarafından hedef alınan başka bir ağ ürünü olan Pulse Secure VPN’deki sıfır günlük bir güvenlik açığından yararlanarak savunma araştırma ve geliştirmesine dahil olan ABD ağlarını ihlal etti.
