Citrix ADC: Die Gateway-Lücke, die interne Netze öffnete

Am 17. Dezember 2019 warnte Citrix vor einer Sicherheitslücke in Citrix ADC und Citrix Gateway. Über sie konnte jeder im Internet ohne Passwort Befehle auf diesen Geräten ausführen. Die Geräte stehen am Rand vieler Netze von Unternehmen und Behörden. Sie lassen Beschäftigte von außen auf interne Anwendungen zugreifen und verteilen eingehenden Datenverkehr auf mehrere Server. Einen Fix hatte Citrix zunächst nicht, nur einen Workaround, also eine Behelfslösung. Die ersten Fixes kamen 33 Tage später, am 19. Januar 2020. Da war der Angriffscode schon öffentlich und Angriffe liefen weltweit.

So funktionierte der Angriff

Citrix Gateway hat einen eingebauten Webserver, der den Nutzern die Anmeldeseite zeigt. Dahinter liegt ein Ordner namens /vpns/ mit kleinen Programmen, sogenannten Perl-Skripten, die erst nach der Anmeldung erreichbar sein sollten. Die Lücke, CVE-2019-19781, ist ein Path Traversal. Ein Angreifer fügt „../“ in die Adresse einer Anfrage ein, etwa /vpn/../vpns/. Damit klettert er aus dem öffentlichen Bereich heraus und erreicht diese Skripte ohne Anmeldung.

Das CERT Coordination Center der Carnegie Mellon University beschrieb einen Weg, das auszunutzen. Eine erste Anfrage bringt eines der Skripte dazu, eine Datei mit versteckten Befehlen auf das Gerät zu schreiben. Eine zweite Anfrage lässt das Gerät diese Datei als Vorlage für eine Webseite lesen. Dabei laufen die Befehle. Der Angreifer kontrolliert dann ein Gerät, das zwischen dem Internet und dem internen Netz steht.

Der Workaround von Citrix war eine Regel, die Anfragen mit „/../“ oder mit dem Ziel /vpns/ abweist. Bei einigen Builds der Version 12.1 verhinderte ein anderer Fehler, dass die Regel griff. Betroffen waren die Versionen 10.5 bis 13.0. Im Januar 2020 stellte Citrix fest, dass auch seine SD-WAN-WANOP-Geräte verwundbar waren. Sie enthalten Citrix ADC. Citrix ADC hieß früher NetScaler ADC und wird heute wieder unter diesem Namen verkauft.

Reichweite und Schaden

Die niederländische Freiwilligengruppe DIVD durchsucht das Internet nach verwundbaren Systemen und warnt deren Betreiber. Laut DIVD fand ein weltweiter Scan im Dezember 2019 schätzungsweise 128.777 verwundbare Server. Das Sicherheitsunternehmen Positive Technologies, das die Lücke entdeckt hatte, bezifferte die Zahl der gefährdeten Unternehmen auf 80.000 in 158 Ländern. In Deutschland hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit dem 7. Januar 2020 knapp 5.000 verwundbare Systeme an Netzbetreiber gemeldet. Am 16. Januar waren davon noch rund 1.500 offen. Dem BSI lagen zahlreiche Meldungen über erfolgreiche Angriffe vor.

In der Nacht vom 10. auf den 11. Januar 2020 veröffentlichten mehrere Gruppen funktionierenden Angriffscode. Das SANS Internet Storm Center, ein Frühwarndienst des SANS Institute, beobachtete schon am nächsten Tag, dass die Lücke stark ausgenutzt wurde. Das Sicherheitsunternehmen FireEye fand vor dem 12. Januar erfolgreiche Angriffe mehrerer Gruppen. Eine davon löschte die Werkzeuge anderer Angreifer und blockierte weitere Angriffe. Sie behielt aber eine Hintertür, einen versteckten Weg zurück ins Gerät, den nur sie mit einem geheimen Schlüssel öffnen konnte.

Das Update entfernte solche Hintertüren nicht. Das niederländische Sicherheitsunternehmen Fox-IT fand im Januar 2020 auf 1.030 Servern bekannte Spuren einer Kompromittierung, also einer Übernahme durch Angreifer. Bis Juni 2020 waren es 3.332 Server, darunter Server von Regierungsorganisationen und Fortune-500-Unternehmen. Von den im Juni kompromittierten Servern waren 23 % gepatcht, hatten aber weiterhin eine Hintertür. Im Juli 2021 nannten Behörden aus den USA, Großbritannien und Australien CVE-2019-19781 die am häufigsten ausgenutzte Sicherheitslücke des Jahres 2020.

Den schwersten dokumentierten Schaden gab es Monate später. Im September 2020 verschlüsselten Angreifer etwa 30 Server des Universitätsklinikums Düsseldorf mit Ransomware. Diese Schadsoftware sperrt Daten und verlangt Geld für ihre Freigabe. Laut BSI waren sie über das Citrix-Gateway des Klinikums eingedrungen. Sie hatten es kompromittiert, bevor das Update installiert war. Installiert waren die Fixes dort ab dem 27. Januar 2020. Das Klinikum konnte 13 Tage in Folge keine Notfallpatienten aufnehmen. Die Zentrale Notaufnahme öffnete am 23. September 2020 wieder. Das Erpresserschreiben war an die Universität gerichtet, zu der das Klinikum gehört. Die Polizei teilte den Angreifern mit, dass sie ein Krankenhaus getroffen hatten. Daraufhin gaben die Angreifer einen Schlüssel heraus, mit dem sich die Daten wiederherstellen ließen.

In der Nacht vom 11. auf den 12. September sollte eine lebensbedrohlich erkrankte Frau mit dem Rettungswagen in das Klinikum gebracht werden. Sie kam stattdessen mit etwa 20 bis 25 Minuten Verzögerung in ein weiter entferntes Krankenhaus in Wuppertal und starb. Die Staatsanwaltschaft kam im Januar 2021 zu dem Schluss, dass sie sehr wahrscheinlich auch bei früherer Behandlung gestorben wäre. Ein Zusammenhang zwischen dem Angriff und ihrem Tod ließ sich deshalb nicht belegen.

Der Fix und die Reaktion

Citrix veröffentlichte die Fixes Version für Version:

Bevor es die Fixes gab, gingen Regierungen weiter als üblich. Das niederländische National Cyber Security Centre (NCSC) stufte die Lücke am 24. Dezember 2019 auf die höchste Stufe hoch. Es wurde unklar, ob der Workaround von Citrix in allen Fällen wirkte. Am 17. Januar 2020 riet das NCSC der Regierung und den Betreibern kritischer Dienste dringend, ihre Citrix-Server bis zu einem Fix abzuschalten. Der IT-Chef der niederländischen Regierung forderte die Ministerien auf, ebenso zu handeln, sofern nicht strenge Bedingungen erfüllt waren. Laut Regierung deckten die ersten Fixes etwa die Hälfte der verwundbaren Systeme in den Niederlanden ab.

In den USA veröffentlichte die CISA, die Bundesbehörde für Cybersicherheit, am 13. Januar 2020 ein kostenloses Werkzeug. Es prüft, ob ein Gerät verwundbar ist. Am 22. Januar brachten Citrix und FireEye einen Scanner heraus, der nach Spuren von Angriffen sucht. Am 31. Januar warnte die CISA, dass unbekannte Angreifer zahlreiche Organisationen kompromittiert hätten. Sie warnte auch, dass ein Patch ein bereits kompromittiertes Gerät nicht bereinigt. Das BSI wiederholte diese Warnung nach dem Angriff auf das Klinikum im September 2020. Am 3. November 2021 nahm die CISA die Lücke in ihren Katalog ausgenutzter Schwachstellen auf.

Die National Vulnerability Database bewertet CVE-2019-19781 mit 9,8 von 10 Punkten, also als „kritisch“. Ein Angreifer braucht weder ein Passwort noch die Mithilfe eines Nutzers und kann das Gerät vollständig übernehmen.