Citrix heeft vandaag beveiligingsupdates uitgebracht voor ernstige kwetsbaarheden in de Citrix Application Delivery (ADC) Controller, Citrix Gateway en Citrix SD-WAN WANOP appliance. Volgens Citrix zijn de beveiligingslekken niet zo ernstig als de kwetsbaarheid die vorig jaar december aan het licht kwam en actief door aanvallers werd misbruikt.

De updates van vandaag verhelpen in totaal elf kwetsbaarheden waardoor een aanvaller verschillende soorten aanvallen kan uitvoeren. Het gaat onder andere om een denial of service, het stelen van informatie, het verhogen van rechten op een al gecompromitteerd systeem, het omzeilen van de autorisatie, het injecteren van code en reflected en stored cross-site scripting (XSS). Volgens Citrix zijn de kwetsbaarheden niet zo eenvoudig te misbruiken als bij het lek van december het geval was.

Bij organisaties waar er geen onbetrouwbaar verkeer op het managementnetwerk aanwezig is, is het risico beperkt tot een dos-aanval wanneer de Gateway of authenticatie virtual servers worden gebruikt, zo laat de fabrikant weten. In het geval een aanvaller toegang tot het managementnetwerk weet te krijgen kan hij daarvandaan het systeem compromitteren. Een andere mogelijkheid om het systeem te compromitteren is via een XSS-aanval op de managementinterface. Citrix heeft het security bulletin met de beveiligingsupdates als kritiek bestempeld.

"Drie van de zes mogelijke aanvallen doen zich voor in de managementinterface van een kwetsbaar apparaat. Systemen die volgens de aanbevelingen van Citrix zijn uitgerold hebben deze interface gescheiden van het netwerk en beschermd met een firewall. Deze configuratie verkleint het risico aanzienlijk", zegt Citrix-cio Fermin Serna. Hij roept organisaties op om de updates desondanks snel te installeren.

Verder merkt de Citrix-cio op dat er bewust is gekozen om op dit moment geen uitgebreide technische details over de kwetsbaarheden prijs te geven om zo klanten te beschermen. "Aanvallers maken gebruik van de details en patches om exploits te ontwikkelen. Daarom nemen we stappen om onze klanten te helpen en adviseren, maar doen we ook wat we kunnen om informatie bij kwaadwillende actoren weg te houden", aldus Serna.

De kwetsbaarheden zijn verholpen in de volgende versies van de Citrix ADC, Gateway en SD-WAN WANOP:

• Citrix ADC en Citrix Gateway 13.0-58.30 en nieuwer
• Citrix ADC en NetScaler Gateway 12.1-57.18 en nieuwere 12.1 releases
• Citrix ADC en NetScaler Gateway 12.0-63.21 en nieuwere 12.0 releases
• Citrix ADC en NetScaler Gateway 11.1-64.14 en nieuwere 11.1 releases
• NetScaler ADC en NetScaler Gateway 10.5-70.18 en nieuwere 10.5 releases
• Citrix SD-WAN WANOP 11.1.1a en nieuwere releases
• Citrix SD-WAN WANOP 11.0.3d en nieuwere 11.0 releases
• Citrix SD-WAN WANOP 10.2.7 en nieuwere 10.2 releases
• Citrix Gateway Plug-in voor Linux 1.0.0.137 en nieuwere versies