Deserializacja danych w Citrix Session Recording pozwala uruchomić kod na serwerze z nagraniami sesji użytkowników. CISA potwierdza ataki, opis ataku jest publiczny. Zainstaluj poprawkę dla swojej gałęzi na każdym serwerze.
Ten alert jest dla zarządu, CTO i CFO firm, które korzystają z Citrix Virtual Apps and Desktops z modułem nagrywania sesji Citrix Session Recording. Werdykt: jeśli serwer Session Recording ma kompilację starszą niż wskazana przez Citrix dla Twojej gałęzi (np. 24.5.200.8 dla wydania 2407), zainstaluj poprawkę na każdym serwerze w tym tygodniu, bo CISA potwierdza wykorzystanie tej luki, a opis ataku jest publiczny.
Amerykańska agencja CISA 25 sierpnia 2025 roku dopisała podatność CVE-2024-8069 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego samego dnia dopisała powiązaną lukę CVE-2024-8068 z tego samego biuletynu Citrix.
CVE-2024-8069 to deserializacja niezaufanych danych w usłudze Citrix Session Recording, która odbiera i przechowuje nagrania sesji użytkowników. Według Citrix i CISA pozwala ona na ograniczone zdalne wykonanie kodu z uprawnieniami konta NetworkService, jeśli napastnik jest uwierzytelnionym użytkownikiem w tej samej sieci wewnętrznej co serwer nagrywania. Badacz z watchTowr, który zgłosił błąd, opisał jednak łańcuch obu luk jako możliwy do wykorzystania bez uwierzytelnienia, gdy kolejka wiadomości MSMQ jest dostępna przez HTTP.
Termin naprawy wyznaczony przez CISA agencjom federalnym minął 15 września 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-8069 (biuletyn Citrix CTX691941, razem z CVE-2024-8068) |
Data dodania do CISA KEV | 2025-08-25 |
Termin naprawy wg CISA | 2025-09-15 (21 dni od wpisu) |
Produkt | Citrix Session Recording (moduł nagrywania sesji w Citrix Virtual Apps and Desktops); w pierwszej wersji biuletynu opisany jako Citrix Virtual Apps and Desktops |
Wersje zagrożone | Wydanie bieżące przed 2407 z poprawką, 1912 LTSR przed CU9, 2203 LTSR przed CU5, 2402 LTSR przed CU1 (wg analizy źródłowej i NVD). Warunek wg Citrix: napastnik jest uwierzytelnionym użytkownikiem w tej samej sieci wewnętrznej |
Wersje bezpieczne | Wydanie bieżące: 2407 z poprawką 24.5.200.8 i nowsze; 1912 LTSR CU9: 19.12.9100.6; 2203 LTSR CU5: 22.03.5100.11; 2402 LTSR CU1: 24.02.1200.16 (numery kompilacji wg analizy źródłowej, poprawki w osobnych artykułach Citrix) |
Typ podatności | Deserializacja niezaufanych danych; CWE-502 |
Ocena CVSS | Citrix: 5.1 ŚREDNIA (CVSS 4.0, niski wpływ). NVD: 8.0 WYSOKA (CVSS 3.1, wysoki wpływ na poufność, integralność i dostępność). Obie: atak z sieci sąsiedniej (wewnętrznej), niskie uprawnienia, bez udziału użytkownika |
Wyobraź sobie archiwum nagrań z monitoringu, do którego kamery wysyłają kasety pocztą wewnętrzną. Archiwista rozpakowuje każdą przesyłkę i wykonuje instrukcje z dołączonej kartki, na przykład „odłóż na półkę 4”, nie sprawdzając, kto przesyłkę nadał. Wystarczy, że ktoś z budynku wrzuci do poczty wewnętrznej własną paczkę z kartką „otwórz sejf i przekaż klucze kurierowi”, a archiwista to zrobi.
Serwer Citrix Session Recording odbiera nagrania sesji użytkowników przez kolejkę wiadomości MSMQ i „rozpakowuje” je (deserializuje). Podatna wersja odtwarzała dane bez sprawdzenia, czy pochodzą z zaufanego źródła, więc spreparowana wiadomość mogła uruchomić kod napastnika na serwerze z uprawnieniami usługi. A na tym serwerze leżą nagrania pracy użytkowników, często z widocznymi danymi klientów.
💡 Session Recording to moduł Citrix, który nagrywa sesje pracy użytkowników na zdalnych pulpitach. Deserializacja to odtwarzanie złożonych danych z przesłanego ciągu znaków; niebezpieczna, gdy dane mogą pochodzić od obcych. MSMQ to usługa kolejki wiadomości Windows, przez którą przesyłane są nagrania. NetworkService to konto usługowe Windows o ograniczonych, ale znaczących uprawnieniach. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Agent nagrywania wysyła nagranie sesji | Serwer zapisuje nagranie | Tak samo |
Spreparowana wiadomość w kolejce MSMQ | Odrzucona | Kod napastnika wykonany jako NetworkService |
Kto może zaatakować (wg Citrix) | Nikt spoza uprawnionych systemów | Dowolny uwierzytelniony użytkownik sieci wewnętrznej |
Kolejka MSMQ dostępna przez HTTP (wg watchTowr) | Brak dostępu z zewnątrz | Ryzyko ataku bez uwierzytelnienia |
Nagrania sesji na serwerze | Dostępne dla uprawnionych | Zagrożone kradzieżą lub manipulacją |
źródło: Pexels, cottonbro studioPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Według Citrix napastnik musi już mieć konto w sieci wewnętrznej firmy (np. przejęte przez phishing), więc to zwykle drugi krok włamania. CISA oceniła, że ataku nie da się zautomatyzować.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przyczółek | Dni lub tygodnie wcześniej | Przejęcie konta pracownika lub komputera w sieci wewnętrznej (phishing, wykradzione hasło) | Uwierzytelniony dostęp do sieci firmy |
2. Rozpoznanie | T+0 do kilku godzin | Wyszukanie serwera Session Recording i jego kolejki MSMQ | Znany cel |
3. Wykonanie kodu | T+minuty | Wysłanie spreparowanej wiadomości do kolejki (opis i generator artefaktów watchTowr są publiczne) | Kod napastnika działa jako NetworkService |
4. Kradzież nagrań | T+godziny | Dostęp do nagranych sesji, w tym ekranów z danymi klientów i hasłami wpisywanymi na nagraniach | Wyciek poufnych informacji |
5. Eskalacja | T+dni | Szukanie dalszych uprawnień na serwerze i w domenie | Szersze przejęcie infrastruktury Citrix |
6. Skutki | T+dni do tygodni | Kradzież danych, sabotaż, przygotowanie ataku ransomware | Przestój i wyciek |
Mogę Ci jakoś pomóc?
Serwer nagrywania sesji bywa traktowany jak bierne archiwum, a przechowuje zapis pracy ludzi na najbardziej wrażliwych danych. Luka wymaga dostępu do sieci wewnętrznej, ale ten ma każdy pracownik, podwykonawca i zainfekowany komputer.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie serwera nagrań i analiza środowiska Citrix, przerwy w pracy zdalnej | Dni | 20 tys. do 200 tys. PLN (przestój, odbudowa) |
Bezpieczeństwo danych | Wyciek nagrań sesji z danymi klientów, dokumentami i hasłami widocznymi na ekranie | Godziny od wykonania kodu | 30 tys. do 250 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty incydentu, roszczenia klientów, możliwy okup przy dalszym ataku | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Utrata zaufania, gdy wyciekną nagrania pracy na danych klientów | Miesiące | 50 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Citrix Session Recording bez poprawki
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu na serwerze z nagraniami, CISA ocenia skutek techniczny jako całkowity), a prawdopodobieństwo średnie, bo według Citrix potrzebny jest wcześniejszy dostęp do sieci wewnętrznej; przy kolejce MSMQ dostępnej przez HTTP, jak opisuje watchTowr, znacznik trzeba przesunąć w prawo.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy w środowisku Citrix działa Session Recording i na ilu serwerach, z jaką gałęzią i numerem kompilacji | Dziś | Administrator Citrix |
2 | 🔴 NATYCHMIAST | Sprawdzić, czy kolejka MSMQ serwera nagrań jest dostępna przez HTTP i z jakich sieci | Dziś | Administrator Citrix / sieci |
3 | 🟠 PILNIE | Zainstalować poprawkę właściwą dla gałęzi na każdym serwerze Session Recording osobno | Do 7 dni | Administrator Citrix |
4 | 🟠 PILNIE | Ograniczyć dostęp sieciowy do serwera nagrań tylko do serwerów z agentem nagrywania i administratorów | Do 7 dni | Administrator sieci |
5 | 🟠 PILNIE | Zamknąć zgłoszenie dopiero po spisaniu numeru kompilacji z każdego serwera | Do 7 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Przejrzeć konta w domenie: wyłączyć konta byłych pracowników i podwykonawców | Do 30 dni | Administrator AD |
7 | 🟡 WAŻNIE | Dopisać do spisu oprogramowania moduły Citrix i ich numery kompilacji | Do 30 dni | CTO |
Citrix wydał poprawki dla wszystkich wspieranych gałęzi (bieżącej i trzech LTSR), więc aktualizacja jest właściwą drogą. Badacz z watchTowr zauważył, że trudno inaczej ograniczyć tę lukę, bo kolejka MSMQ jest kluczowa dla działania nagrywania. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie dostępu sieciowego do serwera nagrań (tylko serwery z agentem i administratorzy) | Średnia do wysokiej wobec napastnika z przypadkowego komputera w sieci | Średnia: wymaga reguł zapory i testów, ryzyko zakłócenia nagrywania |
Wyłączenie dostępu do MSMQ przez HTTP, jeśli nie jest potrzebny | Wysoka wobec opisanej przez watchTowr drogi ataku | Średnia: wymaga weryfikacji wpływu na nagrywanie |
Czasowe wyłączenie usługi Session Recording, jeśli nagrywanie nie jest obowiązkowe | Wysoka | Łatwa, ale traci się nagrania |
Monitorowanie procesów uruchamianych przez usługę nagrań | Niska jako ochrona, przydatna do wykrycia | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Odtwarzanie wiadomości w kolejce | Bez sprawdzenia źródła | Poprawione w wersji z poprawką |
Dostęp do serwera nagrań | Z całej sieci wewnętrznej | Tylko z serwerów z agentem i od administratorów |
Serwery na różnych gałęziach | Jedno zbiorcze zgłoszenie | Każdy serwer sprawdzony po numerze kompilacji |
Konta w domenie | Konta byłych pracowników aktywne | Przejrzane i uporządkowane |
Spis oprogramowania | Tylko nazwa pakietu | Moduły i numery kompilacji |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CISA ocenia wykorzystanie jako aktywne, skutek techniczny jako całkowity, atak jako nieautomatyzowalny |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 5.1 ŚREDNIA wg Citrix (CVSS 4.0); 8.0 WYSOKA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | TAK: watchTowr opublikował 12 listopada 2024 roku szczegółowy opis ataku wraz z generatorem artefaktów |
Liczba atakowanych firm | Brak publicznych informacji |
Kto wykrył błąd | Sina Kheirkhah z watchTowr |
Prognoza EPSS | 0,146 (około 15% szansy próby wykorzystania w 30 dni), percentyl 0,965, odczyt FIRST z 16 września 2026; dla bliźniaczej CVE-2024-8068 tylko 0,014 |
Różnica między 5.1 a 8.0 dotyczy oceny skutków: Citrix uznał wpływ za niski, NVD za wysoki, a CISA opisuje skutek techniczny jako całkowity. Dla decyzji w firmie ważniejsze od liczby jest to, czy numer kompilacji na każdym serwerze jest równy lub wyższy od wskazanego przez Citrix.
Mogę Ci jakoś pomóc?
Sygnały zagrożenia dla CVE-2024-8069
CVSS 3.1 (NVD) 8.0/10 ████████████████░░░░ WYSOKA
CVSS 4.0 (Citrix) 5.1/10 ██████████░░░░░░░░░░ ŚREDNIA
EPSS (próba w 30 dni) ~15% ███░░░░░░░░░░░░░░░░░ top 4%
Publiczny opis ataku TAK ████████████████████ watchTowr
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-11-12 Citrix publikuje biuletyn CTX691941; watchTowr publikuje
opis ataku; publikacja CVE w NVD; ostrzeżenie CERT-Bund
2024-11-14 Citrix zmienia nazwę produktu w biuletynie na
Citrix Session Recording
2025-08-25 CISA dodaje CVE-2024-8069 i CVE-2024-8068 do KEV
2025-09-15 Termin naprawy wg CISA dla agencji federalnych
2026-09-16 EPSS 0,146, percentyl 0,965
... ponad rok od terminu CISA, prawie 2 lata od poprawki
2026-09-17: TUTAJ JESTEŚMY Biuletyn Citrix z odnośnikami do poprawek dla każdej gałęzi: CTX691941, Citrix Session Recording Security Bulletin . Opis ataku od badacza: watchTowr Labs . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-8069 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Citrix Session Recording i na ilu serwerach | CTO | DZISIAJ |
2 | Uzyskać listę serwerów z gałęzią i numerem kompilacji | CTO | DZISIAJ |
3 | Zatwierdzić okno serwisowe na instalację poprawek na wszystkich serwerach nagrań | CTO | DO JUTRA |
4 | Zlecić ograniczenie dostępu sieciowego do serwerów nagrań | CTO | DO JUTRA |
5 | Sprawdzić, czy licencja i wsparcie Citrix pozwalają pobrać poprawki dla używanej gałęzi | CFO | DO JUTRA |
6 | Ustalić, jakie dane osobowe widać na nagraniach sesji i jak długo są przechowywane | CFO / inspektor ochrony danych | DO JUTRA |
7 | Rozbijać przyszłe komunikaty CISA na osobne zadania dla każdego produktu | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy używamy Citrix Session Recording? | TAK / NIE | 🔴 |
2 | Ile mamy serwerów nagrań i na jakich gałęziach (bieżąca, 1912, 2203, 2402 LTSR)? | [liczba i gałęzie] | 🔴 |
3 | Jaki numer kompilacji ma każdy serwer? | [numery kompilacji] | 🔴 |
4 | Czy kolejka MSMQ serwera nagrań jest dostępna przez HTTP? | TAK / NIE | 🟠 |
5 | Z jakich sieci można połączyć się z serwerem nagrań? | [lista sieci] | 🟠 |
6 | Kiedy zainstalowano poprawki z biuletynu CTX691941? | [data] | 🟠 |
7 | Jak długo przechowujemy nagrania i kto ma do nich dostęp? | [okres i lista osób] | 🟡 |
CVE-2024-8069 pozwala wykonać kod na serwerze Citrix Session Recording przez spreparowaną wiadomość w kolejce nagrań, co według Citrix wymaga konta w sieci wewnętrznej, a według watchTowr w pewnych konfiguracjach nie wymaga uwierzytelnienia. CISA potwierdza ataki, a poprawki istnieją od listopada 2024 roku, więc instalacja poprawki na każdym serwerze nagrań i ograniczenie dostępu do nich to zadania na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.