Citrix ADC: Die Gateway-Lücke, die interne Netze öffnete

Am 17. Dezember 2019 warnte Citrix vor einer Sicherheitslücke in Citrix ADC und Citrix Gateway, über die jeder im Internet ohne Passwort Befehle auf diesen Geräten ausführen konnte. Die Geräte stehen am Rand vieler Netze von Unternehmen und Behörden: Über sie erreichen Beschäftigte interne Anwendungen von außen, und sie verteilen eingehenden Datenverkehr auf mehrere Server. Einen Fix hatte Citrix zunächst nicht, nur einen Workaround, also eine Behelfslösung. Die ersten Fixes kamen 33 Tage später, am 19. Januar 2020. Da war der Angriffscode schon öffentlich, und weltweit liefen Angriffe.

So funktionierte der Angriff

Citrix Gateway hat einen eingebauten Webserver, der den Nutzern die Anmeldeseite zeigt. Dahinter liegt ein Ordner namens /vpns/ mit kleinen Programmen, sogenannten Perl-Skripten, die erst nach der Anmeldung erreichbar sein sollten. Die Lücke, CVE-2019-19781, ist ein Path Traversal, ein Ausbruch aus dem vorgesehenen Verzeichnis: Wer „../“ in die Adresse einer Anfrage einfügt, etwa /vpn/../vpns/, klettert aus dem öffentlichen Bereich heraus und erreicht diese Skripte ohne Anmeldung.

Das CERT Coordination Center der Carnegie Mellon University beschrieb einen Weg, das auszunutzen. Eine erste Anfrage bringt eines der Skripte dazu, eine Datei mit versteckten Befehlen auf das Gerät zu schreiben. Eine zweite Anfrage lässt die Template-Engine des Geräts, also den Teil, der Webseiten aus Vorlagen baut, diese Datei lesen, und die Befehle laufen. Der Angreifer kontrolliert dann ein Gerät, das zwischen dem Internet und dem internen Netz steht.

Der Workaround von Citrix war eine Regel, die Anfragen abweist, die „/../“ enthalten oder auf /vpns/ zielen. Bei einigen Builds der Version 12.1 verhinderte ein anderer Fehler, dass die Regel griff. Betroffen waren die Versionen 10.5 bis 13.0, und im Januar 2020 stellte Citrix fest, dass auch seine SD-WAN-WANOP-Geräte verwundbar waren, weil sie Citrix ADC enthalten. Citrix ADC hieß früher NetScaler ADC und wird heute wieder unter diesem Namen verkauft.

Reichweite und Schaden

Die niederländische Freiwilligengruppe DIVD, die das Internet nach verwundbaren Systemen durchsucht und deren Betreiber warnt, berichtet, dass ein weltweiter Scan im Dezember 2019 schätzungsweise 128.777 verwundbare Server fand. Das Sicherheitsunternehmen Positive Technologies, das die Lücke entdeckt hatte, bezifferte die Zahl der gefährdeten Unternehmen auf 80.000 in 158 Ländern. In Deutschland hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit dem 7. Januar 2020 knapp 5.000 verwundbare Systeme an Netzbetreiber gemeldet. Am 16. Januar waren davon noch rund 1.500 offen, und dem BSI lagen zahlreiche Meldungen über erfolgreiche Angriffe vor.

In der Nacht vom 10. auf den 11. Januar 2020 veröffentlichten mehrere Gruppen funktionierenden Angriffscode. Das SANS Internet Storm Center, ein Frühwarndienst des SANS Institute, beobachtete schon am nächsten Tag, dass die Lücke stark ausgenutzt wurde. Das Sicherheitsunternehmen FireEye fand vor dem 12. Januar erfolgreiche Angriffe mehrerer Gruppen. Eine davon räumte hinter sich auf: Sie löschte die Werkzeuge anderer Angreifer und blockierte weitere Angriffe, behielt aber eine Hintertür, also einen versteckten Weg zurück ins Gerät, den nur sie mit einem geheimen Schlüssel öffnen konnte.

Das Update entfernte solche Hintertüren nicht. Das niederländische Sicherheitsunternehmen Fox-IT fand im Januar 2020 auf 1.030 Servern bekannte Spuren einer Kompromittierung, also einer Übernahme durch Angreifer, und bis Juni 2020 auf 3.332, darunter Server von Regierungsorganisationen und Fortune-500-Unternehmen. Von den im Juni kompromittierten Servern waren 23 % gepatcht, hatten aber weiterhin eine Hintertür. Im Juli 2021 nannten Behörden aus den USA, Großbritannien und Australien CVE-2019-19781 die am häufigsten ausgenutzte Sicherheitslücke des Jahres 2020.

Den schwersten dokumentierten Schaden gab es Monate später. Im September 2020 verschlüsselten Angreifer etwa 30 Server des Universitätsklinikums Düsseldorf mit Ransomware, einer Schadsoftware, die Daten sperrt und Geld für ihre Freigabe verlangt. Laut BSI waren sie über das Citrix-Gateway des Klinikums eingedrungen, das sie schon vor der Installation des Updates kompromittiert hatten; installiert waren die Fixes dort ab dem 27. Januar 2020. Das Klinikum konnte keine Notfallpatienten aufnehmen und war 13 Tage in Folge von der Notfallversorgung abgemeldet; seine Zentrale Notaufnahme öffnete am 23. September 2020 wieder. Das Erpresserschreiben war an die Universität gerichtet, zu der das Klinikum gehört. Als die Polizei den Angreifern mitteilte, dass sie ein Krankenhaus getroffen hatten, gaben diese einen Schlüssel zur Wiederherstellung der Daten heraus.

In der Nacht vom 11. auf den 12. September sollte eine lebensbedrohlich erkrankte Frau mit dem Rettungswagen in das Klinikum gebracht werden. Sie kam stattdessen in ein weiter entferntes Krankenhaus in Wuppertal, mit einer Verzögerung von etwa 20 bis 25 Minuten, und starb. Die Staatsanwaltschaft kam im Januar 2021 zu dem Schluss, dass sie sehr wahrscheinlich auch bei früherer Behandlung gestorben wäre; ein Zusammenhang zwischen dem Angriff und ihrem Tod ließ sich deshalb nicht belegen.

Der Fix und die Reaktion

Citrix veröffentlichte die Fixes Version für Version:

Bevor es die Fixes gab, gingen Regierungen weiter als üblich. Das niederländische National Cyber Security Centre (NCSC) stufte die Lücke am 24. Dezember 2019 auf die höchste Stufe hoch. Als unklar wurde, ob der Workaround von Citrix in allen Fällen wirkte, riet das NCSC der Regierung und den Betreibern kritischer Dienste am 17. Januar 2020 dringend, ihre Citrix-Server abzuschalten, bis es einen Fix gab. Der IT-Chef der niederländischen Regierung forderte die Ministerien auf, ebenso zu handeln, sofern nicht strenge Bedingungen erfüllt waren. Laut Regierung deckten die ersten Fixes etwa die Hälfte der verwundbaren Systeme in den Niederlanden ab.

In den USA veröffentlichte die CISA, die Bundesbehörde für Cybersicherheit, am 13. Januar 2020 ein kostenloses Werkzeug, das prüft, ob ein Gerät verwundbar ist. Am 22. Januar brachten Citrix und FireEye einen Scanner heraus, der nach Spuren von Angriffen sucht. Am 31. Januar warnte die CISA, dass unbekannte Angreifer zahlreiche Organisationen kompromittiert hätten und dass ein Patch ein bereits kompromittiertes Gerät nicht bereinigt. Das BSI wiederholte diese Warnung nach dem Angriff auf das Klinikum im September 2020. Am 3. November 2021 nahm die CISA die Lücke in ihren Katalog ausgenutzter Schwachstellen auf.

Die National Vulnerability Database bewertet CVE-2019-19781 mit 9,8 von 10 Punkten, „kritisch“: Ein Angreifer braucht weder ein Passwort noch die Mithilfe eines Nutzers und kann das Gerät vollständig übernehmen.