Błąd w Citrix Session Recording pozwala zwykłemu użytkownikowi domeny przejąć konto usługowe serwera nagrywania sesji. CISA potwierdza ataki. Zainstaluj poprawki CTX691941 i sprawdź numer kompilacji.
Ten alert jest dla zarządu, CTO i CFO firm, które nagrywają sesje pracy zdalnej w środowisku Citrix za pomocą Citrix Session Recording. Werdykt: jeśli serwer nagrywania nie ma poprawek z biuletynu Citrix CTX691941, zainstaluj je w tym tygodniu i sprawdź numer kompilacji, a nie tylko nazwę wydania, bo luka jest wykorzystywana w atakach, a nagrania zawierają obraz wszystkiego, co pracownicy widzieli na ekranach.
Amerykańska agencja CISA 25 sierpnia 2025 roku dopisała podatność CVE-2024-8068 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w Citrix Session Recording pozwala zalogowanemu użytkownikowi domeny Windows podnieść uprawnienia do konta usługowego NetworkService na serwerze nagrywania.
Tego samego dnia CISA dopisała bliźniaczy błąd z tego samego biuletynu, CVE-2024-8069 (ograniczone zdalne wykonanie kodu z uprawnieniami NetworkService). Rekord CVE opublikowano 12 listopada 2024 roku, więc od publikacji do potwierdzenia ataków minęło ponad dziewięć miesięcy. Termin CISA minął 15 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-8068 |
Data dodania do CISA KEV | 2025-08-25 |
Termin naprawy wg CISA | 2025-09-15 (21 dni od wpisu) |
Produkt | Citrix Session Recording (nagrywanie sesji pulpitów i aplikacji Citrix) |
Wersje zagrożone | Wg NVD: wydania poniżej 2407 oraz 2407; 1912 LTSR do CU8; 2203 LTSR do CU5; 2402 LTSR. Atakujący musi być uwierzytelnionym użytkownikiem tej samej domeny Active Directory co serwer nagrywania i mieć dostęp do jego segmentu sieci |
Wersje bezpieczne | Wg europejskiej bazy EUVD: 1912 LTSR CU9 z poprawką 19.12.9100.6; 2203 LTSR CU5 z poprawką 22.03.5100.11; 2402 LTSR CU1 z poprawką 24.02.1200.16; wydanie bieżące 2407 w kompilacji 24.5.200.8 lub nowsze |
Typ podatności | Niewłaściwe zarządzanie uprawnieniami; CWE-269 |
Ocena CVSS | Citrix: 5.1 (CVSS 4.0, ŚREDNIA, niski wpływ). NVD: 8.0 (CVSS 3.1, WYSOKA, wysoki wpływ). Obie: atak z sąsiedniej sieci, wymagane niskie uprawnienia, bez udziału użytkownika |
„CU5 u nas stoi, więc jest bezpiecznie” to błąd: dla 2203 LTSR poprawka jest nakładką na CU5, więc rozstrzyga numer kompilacji 22.03.5100.11, a nie nazwa aktualizacji.
Wyobraź sobie archiwum monitoringu w biurowcu, w którym przechowuje się nagrania z kamer skierowanych na biurka pracowników przez cały rok. Klucz do archiwum mają tylko ochroniarze. Błąd polega na tym, że każdy pracownik z identyfikatorem budynku może, przy odrobinie wiedzy, zdobyć mundur ochroniarza i wejść do archiwum jako „swój”.
Citrix Session Recording zapisuje, co dzieje się na ekranach w sesjach zdalnych, często razem z danymi klientów i hasłami wpisywanymi przez administratorów. Luka pozwala zwykłemu użytkownikowi domeny przejąć konto NetworkService, na którym działa usługa serwera. To konto nie jest administratorem domeny, ale w sieci występuje pod tożsamością samego serwera.
💡 Session Recording to dodatek Citrix nagrywający sesje pracy na zdalnych pulpitach. NetworkService to konto usługowe Windows, na którym działają usługi serwerowe; w sieci występuje jako komputer. Domena Active Directory to wspólny system kont i uprawnień firmy Windows. LTSR to gałąź długiego wsparcia, a CU to kolejna zbiorcza aktualizacja tej gałęzi. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik pracuje w nagrywanej sesji | Sesja jest zapisywana | Tak samo |
Zwykły użytkownik domeny łączy się z serwerem nagrywania | Brak dostępu do usługi i archiwum | Może uzyskać uprawnienia konta NetworkService |
Archiwum nagrań | Dostępne tylko uprawnionym | Zagrożone ujawnieniem |
Tożsamość w sieci | Pracownik jako on sam | Napastnik działa jako serwer nagrywania |
Atak z internetu bez konta | Niemożliwy | Nadal niemożliwy przez tę lukę |
źródło: pexels.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik musi mieć konto w domenie i dostęp do segmentu sieci serwera nagrywania, więc nie trafi w firmę przypadkowym skanem z internetu. CISA ocenia wykorzystanie jako aktywne, skutek jako całkowity, ale atak jako nieautomatyzowalny, czyli prowadzony ręcznie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przejęcie konta | T+0 min | Wyłudzenie hasła pracownika fałszywą wiadomością lub użycie niewyłączonego konta byłego pracownika | Konto w domenie |
2. Wejście do sieci | T+godziny | Logowanie przez dostęp zdalny do sieci firmy | Dostęp do segmentu z serwerem nagrywania |
3. Podniesienie uprawnień | T+kilka godzin | Wykorzystanie CVE-2024-8068 (i ewentualnie CVE-2024-8069) | Uprawnienia NetworkService na serwerze |
4. Dostęp do nagrań | T+1 dzień | Przeglądanie archiwum sesji | Obraz ekranów z danymi klientów i hasłami |
5. Dalszy ruch | T+dni | Użycie tożsamości serwera i zdobytych haseł w innych systemach | Szersze włamanie w domenie |
Mogę Ci jakoś pomóc?
Warunek „użytkownik tej samej domeny” brzmi jak zabezpieczenie, ale w małej firmie spełnia go każdy pracownik, stażysta i każde niewyłączone konto. Serwer nagrywania zbiera w jednym miejscu obraz wszystkiego, co wyświetlano na nagrywanych stanowiskach, więc jest celem wartym wysiłku.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Serwer nagrywania do odtworzenia, możliwy dalszy atak na domenę | Dni | 20 tys. do 200 tys. PLN (odtworzenie, przestój) |
Bezpieczeństwo danych | Ujawnienie nagrań z danymi klientów i haseł wpisywanych w sesjach | Godziny do dni od wejścia | 30 tys. do 200 tys. PLN (analiza, wymiana haseł) |
Finansowy | Koszty specjalistów i obsługi incydentu | Tygodnie | 30 tys. do 300 tys. PLN łącznie |
Reputacyjny | Informowanie klientów, że ich dane mogły być widoczne na nagraniach | Miesiące | 30 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z niezałatanym Citrix Session Recording
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE / ŚREDNIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (dostęp do archiwum nagrań i tożsamości serwera, choć nie od razu administrator domeny), a prawdopodobieństwo średnie, bo napastnik musi mieć konto w domenie i dostęp do sieci, a ataki są ręczne; dla firmy wybranej jako cel świadomie ryzyko jest jednak wyraźnie wyższe niż sugeruje niski EPSS.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wydanie i numer kompilacji Citrix Session Recording na każdym serwerze | Dziś | Administrator Citrix |
2 | 🟠 PILNIE | Zainstalować poprawki z biuletynu CTX691941 (zamykają CVE-2024-8068 i CVE-2024-8069 razem) | Do 7 dni | Administrator Citrix / partner |
3 | 🟠 PILNIE | Wyłączyć konta byłych pracowników i nieużywane konta w domenie | Do 3 dni | Administrator AD |
4 | 🟠 PILNIE | Ograniczyć dostęp do segmentu sieci serwera nagrywania tylko do niezbędnych systemów i osób | Do 7 dni | Administrator sieci |
5 | 🟡 WAŻNIE | Przejrzeć logi dostępu do serwera i archiwum nagrań od listopada 2024 | Do 14 dni | Zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Ustalić zasadę, że administratorzy nie wpisują haseł do innych systemów w nagrywanych sesjach, i skrócić okres przechowywania nagrań do niezbędnego | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wprowadzić comiesięczne sprawdzanie, czy używane produkty trafiły do katalogu CISA KEV | Do 30 dni | CTO |
Citrix wydał poprawki dla wszystkich wspieranych gałęzi, a CISA nie wskazuje obejścia: należy zastosować poprawki albo zaprzestać używania produktu. Poniższe miary ograniczają ryzyko do czasu aktualizacji; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Izolacja serwera nagrywania w osobnym segmencie sieci z wąską listą dostępu | Wysoka: usuwa warunek „dostęp z sąsiedniej sieci” dla większości kont | Średnia |
Wyłączenie nieużywanych kont domenowych i szybka reakcja na zgłoszenia wyłudzenia hasła | Średnia | Łatwa |
Czasowe wyłączenie usługi nagrywania, jeśli nie jest wymagana prawnie | Wysoka | Łatwa, ale traci się funkcję nagrywania |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Session Recording | Wydanie bez poprawki | Kompilacja z poprawką CTX691941 |
Weryfikacja wersji | Po nazwie wydania (np. „CU5”) | Po numerze kompilacji |
Dostęp do serwera nagrywania | Z całej sieci firmowej | Tylko z niezbędnych systemów |
Konta byłych pracowników | Część aktywna | Wyłączone |
Archiwum nagrań | Długie, z hasłami na ekranach | Skrócone, bez haseł w sesjach |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, skutek całkowity, atak nieautomatyzowalny |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 8.0 WYSOKA wg NVD (CVSS 3.1); 5.1 ŚREDNIA wg Citrix (CVSS 4.0) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Powiązana luka | CVE-2024-8069 z tego samego biuletynu, również w KEV od 25 sierpnia 2025 |
Prognoza EPSS | 0,01395 (ok. 1,4%), wyżej niż ok. 70% znanych luk; niski, bo ataki są ręczne i nie tworzą masowego szumu |
Reguła „najpierw wszystko powyżej 7 punktów” daje tu dwie sprzeczne decyzje, zależnie od bazy. Pewniejszym kryterium jest wpis w katalogu KEV:
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-8068
CVSS 3.1 (NVD) 8.0/10 ████████████████░░░░ WYSOKA
CVSS 4.0 (Citrix) 5.1/10 ██████████░░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~1,4% ░░░░░░░░░░░░░░░░░░░░ NISKA
Atak automatyzowalny NIE ░░░░░░░░░░░░░░░░░░░░ ataki ręczne
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-11-12 Publikacja CVE-2024-8068 i CVE-2024-8069 (biuletyn Citrix CTX691941)
2025-08-25 CISA dodaje obie luki do katalogu KEV
2025-08 Ocena CISA: wykorzystanie aktywne, atak nieautomatyzowalny
2025-09-15 Termin naprawy wg CISA dla agencji federalnych
... ponad 10 miesięcy od biuletynu do potwierdzenia ataków i terminu
2026-09-17: TUTAJ JESTEŚMY Biuletyn Citrix: support.citrix.com: CTX691941 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-8068 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Citrix Session Recording i na ilu serwerach | CTO | DZISIAJ |
2 | Uzyskać numer kompilacji każdego serwera nagrywania | CTO | DZISIAJ |
3 | Zatwierdzić instalację poprawek CTX691941 | CTO | DO JUTRA |
4 | Zlecić wyłączenie nieużywanych kont domenowych | CTO | DO JUTRA |
5 | Sprawdzić, jak długo przechowujemy nagrania i czy wymagają tego przepisy lub umowy | CFO | DO JUTRA |
6 | Oszacować koszt izolacji serwera nagrywania w osobnym segmencie sieci | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Citrix Session Recording? | TAK / NIE | 🔴 |
2 | Jakie wydanie i jaki numer kompilacji ma każdy serwer nagrywania? | [wersja], [kompilacja] | 🔴 |
3 | Czy poprawki z biuletynu CTX691941 są zainstalowane? | TAK / NIE, [data] | 🔴 |
4 | Z jakich części sieci można połączyć się z serwerem nagrywania? | [lista] | 🟠 |
5 | Ile aktywnych kont domenowych należy do osób, które już nie pracują w firmie? | [liczba] | 🟠 |
6 | Jak długo przechowujemy nagrania sesji? | [okres] | 🟡 |
7 | Czy w naszych zgłoszeniach obie luki (CVE-2024-8068 i CVE-2024-8069) są zamknięte razem? | TAK / NIE | 🟡 |
CVE-2024-8068 w Citrix Session Recording pozwala zwykłemu użytkownikowi domeny przejąć konto usługowe serwera nagrywania, a razem z CVE-2024-8069 otwiera drogę do archiwum nagrań. CISA potwierdza wykorzystanie obu luk, więc instalacja poprawek CTX691941 ze sprawdzeniem numeru kompilacji i porządek w kontach domenowych to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.