Citrix ya parchó el zero-day SAML de NetScaler y aparece otro explotado: instala el parche hoy y revisa tu acceso por Citrix

La semana pasada te contamos de dos zero-days sin parche en Citrix NetScaler. Hay novedades, y no todas buenas. El 4 de octubre Citrix liberó el parche para la falla de SAML en NetScaler ADC y Gateway que ya se usaba en ataques, según reportó BleepingComputer.

Al día siguiente, el 5 de octubre, The Hacker News informó de un zero-day nuevo, explotado en ataques dirigidos, que puede dejar fuera de línea los despliegues que usan SAML. Traducido: hoy toca instalar el parche que sí existe y, mientras tanto, cuidar el frente que todavía no tiene cura.

Qué pasó y a quién le pega

Un zero-day es una falla que los atacantes usan antes de que el fabricante la corrija. NetScaler es la caja, física o virtual, por la que mucha gente entra desde fuera a la VPN, al escritorio virtual o a las aplicaciones de la empresa.

SAML es el protocolo con el que NetScaler le pregunta a tu proveedor de identidad (Entra ID, Okta, ADFS) si el usuario es quien dice ser. Si al entrar por Citrix te aparece la pantalla de inicio de sesión de tu cuenta corporativa, casi seguro usas SAML.

Esto le pega a corporativos con VPN por Citrix, a plantas cuya matriz extranjera les puso un NetScaler y a despachos que publican sus aplicaciones por Gateway. En nuestra experiencia, muchas de estas cajas las instaló alguien hace años y nadie las ha vuelto a tocar.

Cómo saber si usas SAML en NetScaler

Entra a la consola de administración y revisa las políticas de autenticación del servidor virtual de Gateway. Si hay una acción de tipo SAML, o una autenticación avanzada (nFactor) con un paso SAML, estás en la lista.

Pista más rápida: pregúntale al de sistemas si la pantalla de usuario y contraseña de la VPN es de Microsoft, de Okta o de Google, y no la de Citrix. Si es así, hay SAML de por medio.

Anota también la versión exacta del firmware. Citrix publicó en su boletín qué versiones están afectadas y cuáles ya traen la corrección. Compara la tuya contra esa lista, no contra lo que alguien recuerde.

Orden de acciones para hoy

Paso	Qué hacer	Por qué
1	Instalar el parche de Citrix en ADC y Gateway	Cierra la falla SAML que ya se explota
2	Cerrar todas las sesiones activas	Quien ya entró sigue adentro aunque parches
3	Rotar certificados, contraseñas de administración y cuentas de servicio	Pudieron copiarlos antes del parche
4	Revisar los registros de acceso de las últimas semanas	Entradas a horas raras o desde países donde no tienes gente
5	Buscar cuentas y administradores nuevos	Es la forma favorita de dejarse una puerta abierta

Parchar sin cerrar sesiones es cambiar la chapa y dejar la ventana abierta. Lo mismo aplica a cualquier herramienta de acceso remoto, como vimos con el parche urgente de TeamViewer.

El segundo zero-day, el que todavía no tiene parche

Según The Hacker News, esta falla puede tirar los despliegues con SAML. No necesita robar nada para hacer daño: basta con que a las 8 de la mañana nadie en la planta pueda entrar a la VPN.

Mientras Citrix publica la corrección, hay tres caminos:

• Limitar quién llega al NetScaler desde internet. Si tu gente entra desde oficinas fijas, filtra por IP en el firewall.
• Deshabilitar SAML de forma temporal y usar autenticación LDAP con segundo factor. Es incómodo, pero sigues operando.
• Segmentar: que el NetScaler solo vea los servidores que publica, no toda la red. Si lo tiran, cae el acceso, no la empresa.

Nuestra opinión: si el NetScaler es la única puerta de tu operación, arma el plan B esta semana, no el día que se caiga.

Cómo lo hacemos en ProcessBi

Dentro de la póliza de soporte TI el NetScaler entra al inventario como cualquier servidor: sabemos qué versión corre, seguimos los boletines de Citrix y aplicamos el parche en ventana acordada, con respaldo previo y plan de regreso.

Después del parche hacemos la parte que casi nadie hace: cerrar sesiones, rotar llaves y leer los registros. Y si tu empresa está en España o Latinoamérica con un NetScaler instalado en México, todo esto se hace de forma remota, en tu horario y en tu idioma.

Hablemos

¿Y en tu empresa?

Si no sabes qué versión corre tu NetScaler, o si lo instaló un proveedor que ya no está, ese es el primer pendiente del día.

Te hacemos un diagnóstico sin costo: versión, estado del parche, uso de SAML y qué plan B tienes si la segunda falla llega antes que su corrección.

Solicita tu diagnóstico sin compromiso — respondemos el mismo día hábil.