Le 17 décembre 2019, l'entreprise Citrix a divulgué une vulnérabilité dans ses logiciels et a pris des mesures temporaires pour limiter les risques. Avant même que les dizaines de milliers d'organisations utilisant Citrix se rendent compte du danger pressant et installent des mesures provisoires, des pitates s'étaient introduits dans les systèmes (voir https://www.onderzoeksraad.nl/nl/page/19862/fundamenteel ingrijpen is nodig voor nederlandse digitale veiligheid).

Il s'agissait d'une vulnérabilité très grave des solutions serveurs «Citrix ADC» et «Citrix Gateway», anciennement connue sous le nom de «Citrix Netscaler». Sur une échelle de 1 à 10, cette vulnérabilité a été notée à 9,8 en termes de gravité (voir https://www.ncsc.nl/actueel/nieuws/2020/januari/13/vele nederlandse citrix servers kwetsbaar voor aanvallen). Elle représenterait un risque potentiel pour les réseaux de 80 000 entreprises établies dans 158 pays. Les États-Unis sont en tête du top 5 des pays comptant le plus d'organisations concernées, suivis par le Royaume-Uni, l'Allemagne, les Pays-Bas et l'Australie.

En exploitant la vulnérabilité critique, les pirates peuvent avoir accès, via internet, au réseau local d'une entreprise sans avoir besoin de compte ni d'authentification, selon la société Positive Technologies spécialisée dans l'expertise de sécurité numérique. Ils peuvent ainsi exécuter du code arbitraire (voir https://tweakers.net/nieuws/161500/citrix kwetsbaarheid vormt risico voor netwerken van 80000 bedrijven.html).

Positive Technologies déclare que les applications Citrix sont largement répandues dans les réseaux d'entreprises. Elles sont utilisées notamment pour permettre aux collaborateurs d'accéder via internet aux applications internes de l'entreprise. Non seulement la vulnérabilité permet à une personne non autorisée d'accéder aux applications publiées, mais elle expose aussi d'autres sources du réseau interne de l'entreprise via le serveur Citrix.

Entre-temps, Citrix a mis à disposition une version actualisée censée résoudre ces problèmes de sécurité (voir https://www.security.nl/posting/729529/Citrix+verhelpt+kritieke+dos kwetsbaarheid+in+ADC+en+Gateway). La question est de savoir dans quelle mesure tant les entreprises que les organisations ont déjà implémenté cette version actualisée, faute de quoi leurs réseaux demeurent extrêmement vulnérables.

Quant au caractère transversal de la présente question écrite: les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui doivent être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité pour la période 2016-2019 et ont fait l'objet d'un débat lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. Cette question concerne dès lors une compétence régionale transversale, les Régions intervenant surtout dans le volet préventif.

Je souhaiterais dès lors vous poser les questions suivantes:

1) Êtes-vous conscient(e) du problème de sécurité potentiel qui est lié aux logiciels de la marque Citrix? Si oui, des mesures ont-elles déjà été prises pour y remédier?

2) Les solutions du fabricant en question sont-elles utilisées dans nos services publics et de sécurité? Si oui, combien d'ordinateurs, de serveurs et de comptes en font usage?

3) Y a-t-il déjà des directives concernant le remplacement ou l'actualisation de ces logiciels qui se révèlent soudainement dangereux? Quelles instructions reçoit-on? A-t-on déjà entrepris quelque chose à cet égard et, si oui, quel est le montant des coûts?

4) A-t-on déjà reçu des plaintes de particuliers ou de services qui utilisent ces logiciels? Si oui, combien au cours des trois dernières années? A-t-on déjà signalé des cas de piratage d'ordinateurs et d'intrusion sur des serveurs, ordinateurs et autres utilisant les logiciels Citrix, précisément à cause des faiblesses que présentent les systèmes sans la mise à jour de sécurité? Si oui, combien et où?

5) Êtes-vous disposé(e) à agir rapidement, eu égard au risque pour de nombreuses institutions? Si oui, quelles mesures seront prises? Si non, comment empêchez-vous que l'utilisation de ces logiciels n'entraîne un problème de sécurité?

1) & 5) Le département de recherche et de partage de renseignements sur les cybermenaces (CyTRIS – Cyber Threat Research and Intelligence Sharing) du CCB surveille en permanence l’évolution des nouvelles vulnérabilités. De façon générale, le CCB réagit en détectant et, si possible, en identifiant les systèmes vulnérables exploités et en informant (par exemple via son site web et les médias sociaux) immédiatement les organisations concernées de cette vulnérabilité et de la solution.

Plus spécifiquement, les problèmes avec Citrix Netscaler (connus sous le numéro CVE-2019-19781) ont également été constatés et considérés comme sérieux.

Un avertissement contenant les conseils nécessaires sur la manière de traiter la vulnérabilité a été publié: https://cert.be/fr/alert/avertissement-vulnerabilite-critique-pour-le-logiciel-adc-de-citrix. Tous les services publics et les organisations d’importance vitale ont été informés des risques de vulnérabilités par le CCB.

En janvier 2020, 703 systèmes vulnérables ont été répertoriés en Belgique. Parmi ceux-ci, 402 systèmes ont pu être identifiés techniquement.

Un courriel expliquant la vulnérabilité de Citrix et les solutions techniques possibles a été envoyé à ces 402 organisations identifiées comme vulnérables en raison du problème Citrix.

À la fin du mois de janvier 2020, le CCB a déterminé que seuls 159 systèmes étaient encore vulnérables. Cela signifie que 544 organisations en Belgique ont pris les mesures techniques nécessaires pour résoudre la vulnérabilité de Citrix.

2) Je ne dispose actuellement pas de chiffres pour répondre à cette question. Vu que les logiciels et matériels utilisés au sein du gouvernement et des services de sécurité tombent sous la responsabilité de chacun de ces services individuellement, cela nécessiterait de solliciter chaque service à part.

3) Des incidents de ce type se produisent régulièrement. Le logiciel n’a pas spécialement besoin d’être remplacé, mais il nécessite une mise à jour de sécurité fournie par le fabricant. En principe, la mise à jour n’entraîne aucun coût. Toutefois, si la version du logiciel est trop ancienne ou s’il n’y a pas de contrat de maintenance, aucun correctif ne sera fourni et le système devra être remplacé.

4) À ma connaissance, nous ne disposons pas de chiffres concrets sur les cyberincidents où Citrix a été utilisé comme vecteur d’infection. Tous les utilisateurs ne font pas remonter leurs cyberincidents vers le CCB.