Citrix脆弱性をOSINTで検知 : CVE-2022-27510, CVE-2022-27518

2022年度の下半期にCitrix ADCとCitrix Gatewayから2つの致命的な脆弱性の CVE-2022-27510、CVE-2022-27518 が公表されました。この2つのCitrix脆弱性はCVSSスコアが両方9.8点のCriticalが出るくらい強力な脆弱性であり、実際のハッキング攻撃にも多く悪用されているという事例が今までも続いて報告されています。

そのセキュリティ脆弱性を持っているCitrix ADCとGatewayが未だに数多くインターネットに放置されています。もちろんCitrixのHTTPバナーには正確なバージョン名が表記されていないため、CVE-2022-27510、CVE-2022-27518の脆弱性を保有するケースを正確にキャッチすることはできないという意見もあるが、それは正確な話ではありません。若干のOSINT技術を用いると、正確なCitrix ADC / Gatewayのバージョン情報を調べられ、攻撃者は分かった情報でインターネットに放置されているCitrix ADC / Gatewayのサーバーへ不法的に浸透することができます。

持続的に悪用される CVE-2022-27510、CVE-2022-27518

まず、何か月か前に報告されたCitrix ADC / Gatewayの2つの脆弱性、「 CVE-2022-27510、CVE-2022-27518 」を見てみましょう。

• CVE-2022-27510：ゲートウェイの使用者機能に対する無断アクセス（Unauthorized access to Gateway user capabilities）
• CVE-2022-27518：認証されていないリモート任意コードを実行

2022年11月8日にCitrixが発表したCVE-2022-27510脆弱性の説明によると、それはCitrix ADC（旧 NetScaler）及び Citrix Gatewayに影響を及ぼす認証バイパス脆弱性であり、ログインをバイパスしてCitrixに浸透できるという問題を持っているそうです。また、サイバー保険企業のアットベイ（At-Bay）のサイバー研究チームは、今年の1週目にRoyalランサムウェア・グループがそれを積極的に悪用している情況をつかんだと伝えました。

また、CVE-2022-27518に関しては2022年12月13日、NSA（National Security Agency）が 「ハッキング攻撃グループのAPT5がその脆弱性を用いてCitrix ADCサーバーを積極的に悪用している」 というおセキュリティ知らせをするほど深刻な問題として知られています。

インターネットに放置されたまま漏えいされたCitrix ADC / Gateway

そのように悪名高いハッカーが悪用しているという話が公式的に出るほど深刻な状況です。Criminal IPでこの脆弱性を分析してみた結果、今も数万台以上のCitrix ADC / Gateway システムがインターネットに放置されたまま漏えいされてあり、この Citrix脆弱性 を持つマシーンだけでも数千台以上であることが確認されました。

Search Query: Title:"Citrix Gateway"

• https://www.criminalip.io/ja/intelligence/element-analysis/search?query=title%3A%22Citrix+Gateway%22