Le 17 décembre 2019, l'entreprise Citrix a divulgué une vulnérabilité dans ses logiciels et a pris des mesures temporaires pour limiter les risques. Avant même que les dizaines de milliers d'organisations utilisant Citrix se rendent compte du danger pressant et installent des mesures provisoires, des pitates s'étaient introduits dans les systèmes (voir https://www.onderzoeksraad.nl/nl/page/19862/fundamenteel ingrijpen is nodig voor nederlandse digitale veiligheid).

Il s'agissait d'une vulnérabilité très grave des solutions serveurs «Citrix ADC» et «Citrix Gateway», anciennement connue sous le nom de «Citrix Netscaler». Sur une échelle de 1 à 10, cette vulnérabilité a été notée à 9,8 en termes de gravité (voir https://www.ncsc.nl/actueel/nieuws/2020/januari/13/vele nederlandse citrix servers kwetsbaar voor aanvallen). Elle représenterait un risque potentiel pour les réseaux de 80 000 entreprises établies dans 158 pays. Les États-Unis sont en tête du top 5 des pays comptant le plus d'organisations concernées, suivis par le Royaume-Uni, l'Allemagne, les Pays-Bas et l'Australie.

En exploitant la vulnérabilité critique, les pirates peuvent avoir accès, via internet, au réseau local d'une entreprise sans avoir besoin de compte ni d'authentification, selon la société Positive Technologies spécialisée dans l'expertise de sécurité numérique. Ils peuvent ainsi exécuter du code arbitraire (voir https://tweakers.net/nieuws/161500/citrix kwetsbaarheid vormt risico voor netwerken van 80000 bedrijven.html).

Positive Technologies déclare que les applications Citrix sont largement répandues dans les réseaux d'entreprises. Elles sont utilisées notamment pour permettre aux collaborateurs d'accéder via internet aux applications internes de l'entreprise. Non seulement la vulnérabilité permet à une personne non autorisée d'accéder aux applications publiées, mais elle expose aussi d'autres sources du réseau interne de l'entreprise via le serveur Citrix.

Entre-temps, Citrix a mis à disposition une version actualisée censée résoudre ces problèmes de sécurité (voir https://www.security.nl/posting/729529/Citrix+verhelpt+kritieke+dos kwetsbaarheid+in+ADC+en+Gateway). La question est de savoir dans quelle mesure tant les entreprises que les organisations ont déjà implémenté cette version actualisée, faute de quoi leurs réseaux demeurent extrêmement vulnérables.

Quant au caractère transversal de la présente question écrite: les différents gouvernements et maillons de la chaîne de sécurité se sont accordés sur les phénomènes qui doivent être traités en priorité au cours des quatre prochaines années. Ceux-ci sont définis dans la Note-cadre de sécurité intégrale et dans le Plan national de sécurité pour la période 2016-2019 et ont fait l'objet d'un débat lors d'une conférence interministérielle à laquelle les acteurs de la police et de la justice ont également participé. Cette question concerne dès lors une compétence régionale transversale, les Régions intervenant surtout dans le volet préventif.

Je souhaiterais dès lors vous poser les questions suivantes:

1) Êtes-vous conscient(e) du problème de sécurité potentiel qui est lié aux logiciels de la marque Citrix? Si oui, des mesures ont-elles déjà été prises pour y remédier?

2) Les solutions du fabricant en question sont-elles utilisées dans nos services publics et de sécurité? Si oui, combien d'ordinateurs, de serveurs et de comptes en font usage?

3) Y a-t-il déjà des directives concernant le remplacement ou l'actualisation de ces logiciels qui se révèlent soudainement dangereux? Quelles instructions reçoit-on? A-t-on déjà entrepris quelque chose à cet égard et, si oui, quel est le montant des coûts?

4) A-t-on déjà reçu des plaintes de particuliers ou de services qui utilisent ces logiciels? Si oui, combien au cours des trois dernières années? A-t-on déjà signalé des cas de piratage d'ordinateurs et d'intrusion sur des serveurs, ordinateurs et autres utilisant les logiciels Citrix, précisément à cause des faiblesses que présentent les systèmes sans la mise à jour de sécurité? Si oui, combien et où?

5) Êtes-vous disposé(e) à agir rapidement, eu égard au risque pour de nombreuses institutions? Si oui, quelles mesures seront prises? Si non, comment empêchez-vous que l'utilisation de ces logiciels n'entraîne un problème de sécurité?

1) La Défense est bien au courant du potentiel problème de sécurité avec les logiciels de la marque Citrix. Étant donné que jusqu’à présent aucune vulnérabilité n’a été identifiée avec ce logiciel, aucune action spécifique n’a été entreprise.

2) Au sein de la Défense, quelques produits de la gamme du fabricant susmentionné, dont le nombre et le type ne peuvent être fournis pour des raisons de sécurité, sont effectivement utilisés.

3) Les problèmes de sécurité liés aux logiciels utilisés par la Défense, sont suivis selon un processus standard.

Le département Cyber du SGRS (Service général du renseignement et de sécurité) assure la veille des vulnérabilités émergeantes et envoie les rapports pertinents au IT Security Architect de la Défense.

Après une pré-analyse, le CCV&C (Centre de compétences des systèmes de communication et d’information) est désigné pour isoler les systèmes touchés jusqu’à la résolution du problème. Ceci est possible en mitigeant ou corrigeant la vulnérabilité sur le logiciel concerné.

Étant donné qu’aucune vulnérabilité n’a été identifiée avec les produits Citrix utilisés par la Défense, aucune action corrective n’a été entreprise à cet égard non plus.

4) Jusqu’à présent, la Défense n’a reçu aucune plainte ou notification concernant le logiciel Citrix.

5) Voir réponse à la question 3).