Aujourd’hui, CISA a ordonné aux agences fédérales américaines de sécuriser leurs systèmes contre trois Citrix NetScaler et Google Chrome zero-days récemment corrigés activement exploités dans des attaques, poussant à corriger un bogue Citrix RCE dans un délai d’une semaine.
L’agence de cybersécurité a ajouté les failles à son Catalogue de vulnérabilités exploitées connues aujourd’hui, affirmant que ces vulnérabilités sont « des vecteurs d’attaque fréquents pour les cyberacteurs malveillants » qui posent « des risques importants pour l’entreprise fédérale. »
Citrix a exhorté mardi les clients à corriger immédiatement les appliances Netscaler ADC et Gateway exposées à Internet contre la vulnérabilité d’injection de code CVE-2023-6548 et le débordement de tampon CVE-2023-6549 ayant un impact sur l’interface de gestion Netscaler qui pourrait être exploitée pour l’exécution de code à distance et attaques par déni de service, respectivement.
Ceux qui ne peuvent pas installer immédiatement les mises à jour de sécurité peuvent bloquer le trafic réseau vers les instances affectées et s’assurer qu’elles ne sont pas accessibles en ligne comme solution de contournement temporaire. Selon la plateforme de surveillance des menaces Shadowserver, plus de 51 000 appliances Netscaler sont actuellement exposées en ligne, dont seulement 1 500 ont leurs interfaces de gestion accessibles via Internet.
CISA a également ajouté l’accès à la mémoire hors limites CVE-2024-0519 dans le moteur JavaScript Chromium V8 à sa liste KEV aujourd’hui. Il s’agit du premier Chrome zero-day exploité à l’état sauvage corrigé par Google cette année.
Une semaine pour sécuriser les instances NetScaler vulnérables
Après leur inclusion dans la liste KEV de la CISA, les Agences Exécutives Civiles fédérales américaines (FCEB) doivent patcher les appareils vulnérables sur leurs réseaux selon un calendrier précis, comme l’exige une directive opérationnelle contraignante (BOD 22-01) publiée il y a trois ans.
Sur les trois jours zéro désormais corrigés, l’agence de cybersécurité souhaite que la vulnérabilité CVE-2023-6548 affectant les interfaces de gestion NetScaler ADC et Gateway soit corrigée dans un délai d’une semaine d’ici mercredi prochain, le 24 janvier.
Les deux autres, le dépassement de tampon NetScaler CVE-2023-6549 et le bogue Google Chrome CVE-2024-0519, doivent être atténués dans les trois semaines avant le 7 février.
Bien que CISA n’ait pas expliqué le processus de correctif accéléré CVE-2023-6548, l’avertissement de Citrix selon lequel les clients doivent sécuriser les appliances vulnérables dès que possible et l’impact de l’interface de gestion du bogue ont probablement joué un rôle important.
Même si la DBO 22-01 ne s’applique qu’aux agences fédérales américaines, la CISA a exhorté toutes les organisations (y compris les entreprises privées) à donner la priorité à la correction de ces failles de sécurité dès que possible.