La faille de Citrix ShareFile pourrait permettre aux attaquants de voler des secrets d’entreprise

Depuis quelques semaines, le géant du logiciel Citrix a lancé en privé une mise à jour logicielle critique pour ses clients professionnels, qui corrige de multiples failles de sécurité affectant la plate-forme de collaboration de contenu Citrix ShareFile.

Le conseil de sécurité – dont The Hacker News a tiré des enseignements Dimitri van de Giessenun hacker éthique et un ingénieur système – est prévue pour être disponible publiquement plus tard dans la journée sur le site web de l Site web de Citrix.

Citrix ShareFile est une solution de partage de fichiers au niveau de l’entreprise, destinée aux entreprises, qui permet aux employés d’échanger entre eux, en toute sécurité, des données commerciales propriétaires et sensibles.

Le logiciel offre un environnement en nuage sécurisé sur site pour le stockage des données, avec des capacités d’audit et des contrôles de conformité réglementaire. Par exemple, une entreprise peut verrouiller ou effacer à distance les données des appareils mobiles potentiellement compromis, ou encore celles qui sont perdues ou volées.

Les questions de sécurité nouvellement identifiées (CTX-CVE-2020-7473) affectent spécifiquement les contrôleurs de zone de stockage Citrix ShareFile gérés par les clients sur site, un composant qui stocke les données de l’entreprise derrière le pare-feu.

La liste des vulnérabilités est la suivante :

• CVE-2020-7473
• CVE-2020-8982
• CVE-2020-8983

Selon l’avis, si elles sont exploitées, les vulnérabilités pourraient permettre à un attaquant non authentifié de compromettre potentiellement le contrôleur des zones de stockage et d’accéder aux documents et dossiers sensibles de ShareFile.

Liste des versions de Citrix ShareFile affectées et corrigées

Si votre entreprise utilise les versions 5.9.0 / 5.8.0 /5.7.0/ 5.6.0 / 5.5.0 et antérieures du contrôleur de zones de stockage ShareFile, vous êtes concerné et il vous est recommandé de mettre immédiatement à niveau votre plateforme vers le contrôleur de zones de stockage 5.10.0 / 5.9.1 / 5.8.1 ou supérieur.

Il est important de noter que si votre zone de stockage a été créée sur l’une des versions affectées, la simple mise à niveau de votre logiciel vers une version corrigée ne résoudra pas complètement la vulnérabilité.

Pour remédier à ce problème, la société a publié séparément un outil d’atténuation qui doit être exécuté d’abord sur le contrôleur principal des zones de stockage, puis sur tout contrôleur secondaire.

« Une fois que l’outil fonctionne avec succès sur votre zone principale, vous NE DEVEZ PAS revenir sur les modifications qui y ont été apportées. L’annulation des modifications entraînera l’indisponibilité de votre zone », avertit l’avis.

Vous trouverez tous les détails étape par étape dans l’avis, dès qu’il sera rendu public.

Outre la solution sur site, les versions cloud des contrôleurs de zone de stockage ShareFile ont également été affectées, mais la société a déjà mis en place des correctifs et n’exige aucune action supplémentaire de la part des utilisateurs.

Où se trouve la faille ?

Au moment de la rédaction du présent document, bien que peu de détails techniques sur les vulnérabilités sous-jacentes soient disponibles, une inspection initiale des correctifs par Dimitri révèle qu’au moins une des failles pourrait avoir résidé dans un ancien Toolkit ASP.net utilisé par Citrix Sharefile.

La version obsolète d’AjaxControlToolkit, vieille de 9 ans, qui serait fournie avec les versions concernées du logiciel ShareFile, contient des vulnérabilités de traversée de répertoire et d’exécution de code à distance (CVE-2015-4670), qui ont été rendues publiques en 2015.

Pour vérifier si l’implémentation de Citrix ShareFile est affectée ou non, on peut visiter l’URL suivante dans le navigateur, et si la page revient vide, elle est vulnérable, et si elle parvient à l’erreur 404, elle n’est pas défectueuse ou a déjà été corrigée.

https://yoursharefileserver.companyname.com/UploadTest.aspx

Selon M. Dimitri, l’outil d’atténuation apporte quelques modifications au fichier web.config et supprime également les fichiers UploadTest.aspx et XmlFeed.aspx des serveurs concernés.