「安全通告」Citrix多个漏洞

综述

近日,Citrix发布安全更新通告,表示已修复其Citrix ADC(以前称为NetScaler ADC)、Citrix Gateway (以前称为NetScaler Gateway)和Citrix SD-WAN WANOP设备中的共11个漏洞。漏洞包括:

CVE ID漏洞类型 受影响的产品攻击者所需权限前提条件
CVE-2019-18177信息泄露Citrix ADC,CitrixGateway 经过身份验证的VPN用户需要配置的SSL VPN端点
CVE-2020-8187拒绝服务 仅Citrix ADC,Citrix Gateway 12.0和11.1未经身份验证的远程用户需要配置的SSL VPN或AAA端点
CVE-2020-8190本地提权 Citrix ADC,CitrixGateway 经过NSIP认证的用户此问题不能直接被利用。攻击者必须首先利用其他漏洞来获得nobody的权限
CVE-2020-8191反射型跨站脚本(XSS) Citrix ADC,Citrix GatewayCitrix SDWAN WAN-OP 未经身份验证的远程用户要求受害者在连接到NSIP的网络中时必须在浏览器中打开攻击者控制的链接
CVE-2020-8193授权绕过 Citrix ADC,CitrixGatewayCitrix SDWAN WAN-OP 有权访问NSIP的未经身份验证的用户攻击者必须能够访问NSIP
CVE-2020-8194代码注入Citrix ADC,CitrixGatewayCitrix SDWAN WAN-OP 未经身份验证的远程用户 要求受害者必须从NSIP下载并执行恶意二进制文件
CVE-2020-8195信息泄露Citrix ADC,CitrixGatewayCitrix SDWAN WAN-OP 经过NSIP认证的用户— 
CVE-2020-8196信息泄露Citrix ADC,CitrixGatewayCitrix SDWAN WAN-OP 经过NSIP认证的用户— 
CVE-2020-8197特权提升 Citrix ADC,Citrix Gateway经过NSIP认证的用户— 
CVE-2020-8198存储型跨站脚本(XSS) Citrix ADC,CitrixGatewayCitrix SDWAN WAN-OP 未经身份验证的远程用户 要求受害者以NSIP管理员(nsroot)身份登录
CVE-2020-8199本地提权适用于Linux的Citrix Gateway插件 运行Citrix Gateway插件的Linux计算机上的本地用户用于Linux的Citrix Gateway插件的预安装版本必须正在运行

目前监测到网络上已经有部分漏洞的细节,建议用户尽快升级进行防护。

Citrix ADC 是整体式和基于微服务的应用交付和负载均衡解决方案,Citrix SD-WAN WANOP 设备用于优化WAN 链接。

参考链接:

https://support.citrix.com/article/CTX276688

受影响产品版本

  • Citrix ADC和Citrix Gateway < 13.0-58.30
  • Citrix ADC和NetScaler Gateway < 12.1-57.18
  • Citrix ADC和NetScaler Gateway < 12.0-63.21
  • Citrix ADC和NetScaler Gateway < 11.1-64.14
  • NetScaler ADC和NetScaler Gateway < 10.5-70.18
  • Citrix SD-WAN WANOP < 11.1.1a
  • Citrix SD-WAN WANOP < 11.0.3d
  • Citrix SD-WAN WANOP < 10.2.7
  • Citrix Gateway Plug-in for Linux < 1.0.0.137

不受影响版本

  • Citrix ADC和Citrix Gateway >= 13.0-58.30
  • Citrix ADC和NetScaler Gateway >= 12.1-57.18
  • Citrix ADC和NetScaler Gateway >= 12.0-63.21
  • Citrix ADC和NetScaler Gateway >= 11.1-64.14
  • NetScaler ADC和NetScaler Gateway 10.5-70.18
  • Citrix SD-WAN WANOP >= 11.1.1a
  • Citrix SD-WAN WANOP >= 11.0.3d
  • Citrix SD-WAN WANOP >= 10.2.7
  • Citrix Gateway Plug-in for Linux >= 1.0.0.137

解决方案

官方已为所有受支持的Citrix ADC,Citrix Gateway和Citrix SD-WAN WANOP发布了修复版本。Citrix强烈建议客户立即安装更新。

可从以下地址获取最新版本:

https://www.citrix.com/downloads/citrix-adc/

https://www.citrix.com/downloads/citrix-gateway/

https://www.citrix.com/downloads/citrix-sd-wan/

建议无法立即更新到最新版本的客户确保限制对管理界面的访问,有关信息,请参考

https://docs.citrix.com/zh-cn/citrix-adc/citrix-adc-secure-deployment/secure-deployment-guide.html

更多信息参考官方通告:

https://support.citrix.com/article/CTX276688

Spread the word. Share this post!

Meet The Author

Leave Comment