Les failles de sécurité dans les passerelles Citrix

Est-ce difficile de devenir un pirate informatique ? Non ! Petko D. Petkov, alias PDP, un chercheur à GNU Citizen, a décrit sur son blog, les vulnérabilités qu'il a découverte en testant les passerelles Citrix.

Les serveurs Citrix sont des portes d'entrées sur les sites web du gouvernement et de l’armée américaine notamment (et de quantités de grandes sociétés, y compris des banques).
Le problème le plus récurent semble provenir du service ICA (Independent Computing Architecture) de Citrix qui permet d’échanger des données entre un poste client et un serveur.
Selon Petkov, "Internet est peuplé de passerelles Citrix complètement ouvertes. C'est de la folie ! Alors que je procédais à des tests Citrix, je me suis bien amusé à pirater les GUI, jeu assez trivial. J'ai aussi testé des fichiers .ICA afin de m'assurer que les clients ne sont pas affectés par diverses vulnérabilités basiques. Ce test m'a conduit à reconsidérer de nombreuses choses sur ICA. Une recherche sur Google des domaines .ICA publics m'a sorti des tas de services complètement ouverts, certains d'entre eux hébergés sur des domaines en .gov et .mil".
Et d'ajouter : "Juste en utilisant Google, j'ai trouvé 114 instances Citrix grandes ouvertes : 10 domaines .gov, 4 .mil, 20 .edu, 27 .com, etc... La recherche fut conduite hors ligne, il pourrait donc y avoir de fausses vulnérabilités. Parmi les services découverts, il y avait plusieurs applications critiques qui paraissaient si intéressantes que je n'ai même pas osé les regarder. Avec une tel résultat, les pirates n'ont qu'à simplement scanner les services du port 1494".
Sur son blog, Petkov entre en détail sur la méthode utilisée et, pour prouver son concept, il donne des scripts qui selon permettent de compromettre la sécurité des mécanismes d’authentification Citrix. Il a également publié une vidéo montrant quelques unes des astuces qu'il a utilisées.

Rien ne vous interdit d'exploiter ces connaissances mais rappelez-vous que c'est pour votre seul usage comme par exemple améliorer la protection de votre site web si vous gérez vous-même le serveur. En aucun cas, il vous est permis de pirater un site. La loi est claire, il s'agit de cybercriminalité et punie comme tel.

Pour plus d'information, consultez le journal EWeek auquel Ptekov a également confié ses découvertes ainsi que le site officiel de Citrix France.