2 часа назад

Злоумышленники эксплуатируют уязвимость NetScaler без аутентификации

Уязвимость CVE-2026-88771 позволяет без аутентификации выполнять произвольный код на устройствах Citrix NetScaler ADC и NetScaler Gateway. Citrix подтвердила эксплуатацию уязвимости на необновлённых системах. По сообщениям, CVE-2026-88771 добавили в каталог известных эксплуатируемых уязвимостей CISA (Known Exploited Vulnerabilities). Исправления включены в NetScaler 14.1-73.46 и более поздние версии, NetScaler 13.1-64.29 и более поздние версии, а также в указанные версии 13.1-FIPS и 13.1-NDcPP, начиная с 13.1.37.283.

В наблюдавшихся атаках злоумышленники отравляли журналы доступа, чтобы позднее выполнить команды. Они создавали каталоги и записывали поддельные сообщения об ошибках PPE с командами для сбора сведений о системе, включая id и uname, а также с именем хоста и информацией о версии NetScaler. Записи размещали в нескольких веб-каталогах и каталогах VPN-устройства. Злоумышленники также создавали файлы PHP и Perl с правами на выполнение.

Затем злоумышленники меняли конфигурацию Apache, включая обработчики CGI для PHP и Perl, и перезагружали веб-сервер. Отравленные данные аутентификации записывались в /var/log/ns.log. Позднее легитимный диагностический сценарий Perl для NetScaler /netscaler/ns_monuploadd_err.pl обрабатывал поддельную запись об отказе Packet Processing Engine. Сценарий включал контролируемое злоумышленниками содержимое в команду оболочки без надлежащего экранирования, поэтому метасимволы оболочки приводили к выполнению команд с привилегиями сценария.

Некоторые варианты эксплуатации пытались развернуть веб-шеллы или загрузить вредоносное ПО. В одном случае команда скачала в /var/kw2s11 64-разрядный исполняемый файл для FreeBSD, написанный на Rust, изменила его права доступа и запустила. Полезная нагрузка получила название kw2-freebsd-x64-s11. Злоумышленники также размещали файлы по множеству URL-путей, чтобы повысить шансы на закрепление или выполнение.

Инфраструктура загрузки пересекалась с активностью, связанной с уязвимостью StyleSmuggler CVE-2026-75650. Эта уязвимость не связана с CVE-2026-88771, а совпадение инфраструктуры не устанавливает общую атрибуцию.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Автор: Технологии киберугроз

Технологии киберугроз – технологическая компания, специализирующаяся на решениях по анализу угроз для предприятий любого размера. Мы собираем, нормализуем, обогащаем информацию о киберугрозах со всего мира. Нашими источниками являют более 260 открытых фидов, более 100 открытых поставщиков Threat Intelligence-отчетов, открытые online sandbox, социальные сети и репозитории GitHub. Мы также предоставляем ряд сервисов по: семантическом анализу Threat Intelligence-отчетов и приведения их в машиночитаемый формат STIX 2.1, проверки IoC на потенциальные ложноположительные сработки, а также получению WHOIS-записей для доменных имен.

Комментарии: