Vulnérabilités critiques dans Citrix NetScaler : que risquez-vous ?
Le CERT-FR a publié un avis urgent : des multiples vulnérabilités viennent d’être découvertes dans les produits phares de Citrix, à savoir NetScaler ADC et NetScaler Gateway. Exploitables à distance, elles permettent à un attaquant de provoquer une exécution de code arbitraire, un déni de service (DoS) et même un contournement de la politique de sécurité. Autant dire que les réseaux d’entreprises qui utilisent ces appliances en périphérie sont actuellement dans le viseur.
Pourquoi est-ce si grave ?
Citrix NetScaler est souvent déployé en tant que load balancer, pare-feu d’applications ou passerelle d’accès distant. Il se trouve donc directement exposé à Internet. Une faille permettant l’exécution de code signifie qu’un hacker peut prendre le contrôle de l’appliance sans authentification préalable, pivoter vers le réseau interne et y déployer des ransomwares ou exfiltrer des données sensibles.
Quelles versions sont concernées ?
L’avis du CERT-FR ne détaille pas encore l’ensemble des versions vulnérables, mais il recommande l’application immédiate des patchs fournis par Citrix. En attendant, l’agence suggère :
- De restreindre l’accès aux interfaces de management et aux VIP publiques via des listes ACL ou une politique Zero Trust.
- D’activer les logs détaillés et de surveiller toute activité anormale (authentifications suspectes, pics de trafic sortant, etc.).
- De prévoir un plan de rollback avant toute mise à jour, car NetScaler est souvent au cœur de la chaîne de disponibilité.
Réaction de Citrix
L’éditeur américain a confirmé être conscient des vulnérabilités et travaille à la publication de correctifs. Cependant, aucun calendrier précis n’a été communiqué. En attendant, les équipes sécurité doivent traiter l’alerte au même niveau qu’un zero-day : patches temporaires, segmentation réseau et renforcement de la surveillance.
Conseil rapide
Si vous hébergez vos appliances chez un fournisseur cloud, demandez immédiatement l’activation de la protection DDoS et la mise en place d’une Virtual Patching via un WAF en amont. Cela ne remplace pas le patch officiel, mais cela achète du temps.
Et vous, avez-vous déjà identifié tous vos actifs NetScaler dans votre inventaire ? Partagez vos méthodes de mitigation en commentaire et aidez la communauté à renforcer sa posture de sécurité !