Citrix产品多个安全漏洞通告

发布时间 2020-07-09

0x00 漏洞概述


2020年7月7日,Citrix官方发布安全公告,在Citrix ADC、Citrix网关和Citrix SD-WAN WANOP 4000-WO、4100-WO、5000-WO和5100-WO版本中发现了多个漏洞。详情见下表:

CVE ID

漏洞类型

影响产品

攻击者权限

前提条件

CVE-2019-18177

ID

Citrix ADC, Citrix Gateway 

经身份认证的VPN用户

需要一个配置的SSL VPN终端

CVE-2020-8187

DOS

Citrix ADC, Citrix Gateway 12.0 and 11.1版本

未经身份认证的远程用户

需要一个配置的SSL VPNAAA终端

CVE-2020-8190

EOP

Citrix ADC, Citrix Gateway 

位于NSIP上经身份认证的用户

该漏洞无法直接被利用。攻击者必须首先利用另一个漏洞获取nobody账户权限

CVE-2020-8191

XSS

Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP 

未经身份认证的远程用户

需要受害者在浏览器中打开由攻击者控制的链接,同时处于连接NSIP的网络上

CVE-2020-8193

AB

Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP 

具有NSIP访问权限的,未经身份认证的用户

攻击者必须能够访问该NSIP

CVE-2020-8194

CI

Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP 

未经身份认证的远程用户

需要受害者从该NSIP下载并执行恶意二进制文件

CVE-2020-8195

ID

Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP 

位于NSIP上经身份认证的用户

CVE-2020-8196

ID

Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP 

位于NSIP上经身份认证的用户

CVE-2020-8197

EOP

Citrix ADC, Citrix Gateway 

位于NSIP上经身份认证的用户

CVE-2020-8198

XSS

Citrix ADC, Citrix Gateway,Citrix SDWAN WAN-OP 

未经身份认证的远程攻击者

需要受害者必须在NSIP上以管理员(nsroot)身份登录

CVE-2020-8199

EOP

Citrix Gateway Plug-in for Linux 

位于Linux计算机上运行Citrix Gateway  Plug-in的本地用户

必须运行Citrix Gateway Plug-in for Linux预装版本

从表中可以看出,攻击还需要某种形式的访问权限才能利用这些漏洞,这意味着攻击者首先需要访问目标系统才能进行攻击。


0x01 漏洞详情




Citrix产品主要用于应用程序的流量管理和实现安全的远程访问,并至少已在158个国家的80000家公司中安装。

如果这些漏洞遭到利用,可能会导致许多安全问题,包括被用于获取信息、发动 DoS 攻击、实现本地提权、发动 XSS 攻击和绕过认证并注入恶意代码。

此外,在用于Linux的Citrix Gateway插件中发现了一个漏洞,安装了该插件的Linux系统的用户可以利用该漏洞进行本地提权。

根据Citrix发布的信息,这些漏洞与该公司在2020年1月修复的CVE-2019-19781远程代码执行漏洞无关,不影响Citrix设备的云版本。到目前为止还没有发现对这些漏洞的利用,建议受影响的用户尽快升级。


0x02 处置建议


目前厂商已发布补丁,下列版本的Citrix ADC、Citrix网关和Citrix SD-WAN WANOP修复了漏洞: 

Citrix ADC and Citrix Gateway >= 13.0-58.30版本

Citrix ADC and NetScaler Gateway > 12.1版本,12.1-57.18版本

Citrix ADC and NetScaler Gateway >  12.0版本,12.0-63.21版本

Citrix ADC and NetScaler Gateway > 11.1版本,11.1-64.14版本

NetScaler ADC and NetScaler Gateway > 10.5版本,10.5-70.18版本

Citrix SD-WAN WANOP >= 11.1.1a版本

Citrix SD-WAN WANOP > 11.0版本,11.0.3d版本

Citrix SD-WAN WANOP > 10.2版本,10.2.7版本

Citrix Gateway Plug-in for Linux >=  1.0.0.137版本

建议受影响的客户及时更新,下载链接:

https://www.citrix.com/downloads/citrix-adc/

https://www.citrix.com/downloads/citrix-gateway/

https://www.citrix.com/downloads/citrix-sd-wan/

临时措施:

当Citrix ADC设备部署到生产环境时,Citrix 建议进行以下配置更改:

 禁止Citrix ADC 管理员接口(NSIP)访问Internet;

 替换 Citrix ADC 默认SSL证书;

 使用HTTPS访问 GUI。

更多详细信息,请参考以下链接:https://docs.citrix.com/zh-cn/citrix-adc/citrix-adc-secure-deployment/secure-deployment-guide.html


0x03 相关新闻


https://threatpost.com/citrix-bugs-allow-unauthenticated-code-injection-data-theft/157214/


0x04 参考链接


https://support.citrix.com/article/CTX276688


0x05 时间线


2020-07-07 Citrix官方发布安全公告

2020-07-09 VSRC发布漏洞通告