Pengantar Insiden
Para penyerang telah memanfaatkan kerentanan injection perintah pra-otentikasi kritis pada Citrix NetScaler ADC dan NetScaler Gateway. Melalui eksploitasi ini, mereka berhasil menempatkan web shell, menciptakan akun superuser, dan memetakan shell tersebut ke URL yang menyerupai format CSS. Observasi ini dilakukan oleh LevelBlue’s Threat Hunt Operations & Research (THOR) team, yang menganalisis aktivitas serangan di berbagai lingkungan pelanggan.
Detail Teknis Ancaman
Kerentanan, yang terdaftar sebagai CVE‑2024‑xxxx, memungkinkan penyerang mengirim permintaan HTTP yang mengandung parameter cmd yang tidak divalidasi. Dengan mengeksekusi perintah seperti nsconfig add user superadmin -pw P@ssw0rd dan nsconfig set user superadmin -privilege admin, penyerang dapat menambahkan pengguna baru dengan hak akses penuh. Selanjutnya, mereka mengeksekusi skrip shell (misalnya bash atau sh) yang menulis file web shell ke direktori publik dan mengkonfigurasi URL mapping agar terlihat seperti /css/style.css atau /fonts/font.css, sehingga sulit dideteksi oleh administrator.
Dampak Ancaman
Akibatnya, penyerang memperoleh akses administratif penuh, memungkinkan mereka untuk:
- Melihat dan mengekstrak konfigurasi jaringan serta kredensial.
- Menjalankan perintah arbitrer di host NetScaler.
- Menanamkan backdoor tambahan atau mengubah kebijakan keamanan.
- Menyebarkan serangan lateral ke sistem lain dalam infrastruktur.
Rekomendasi Mitigasi
Untuk meminimalkan risiko, organisasi disarankan melakukan langkah berikut secara segera:
- Instal patch resmi Citrix NetScaler yang menutup kerentanan CVE‑2024‑xxxx.
- Nonaktifkan atau batasi akses ke port 80/443 pada interface publik; gunakan VPN atau IP whitelisting untuk akses administratif.
- Konfigurasi firewall aplikasi (WAF) untuk memblokir permintaan dengan parameter
cmdatau pola serupa. - Audit log secara berkala dan aktifkan notifikasi real‑time untuk aktivitas perintah tidak biasa.
- Implementasikan prinsip least privilege: batasi hak akses pengguna, hindari penggunaan akun superuser kecuali diperlukan.
- Segregasi jaringan: pisahkan traffic administrasi dari traffic data pelanggan.
Dengan menerapkan langkah-langkah tersebut, organisasi dapat mengurangi peluang serangan dan meminimalkan dampak potensial dari eksploitasi kerentanan NetScaler.
Sumber Referensi: Artikel ini disadur secara otomatis dari publikasi asli. Untuk membaca selengkapnya, silakan kunjungi Citrix NetScaler Post-Exploitation Payload Creates Superuser, Maps Web Shell to CSS-Like URLs.