Bereits nachdem Citrix vor gut einer Woche die Firmware verschiedener NetScaler-Versionen nicht mehr zum Download anbot, war offensichtlich, es gibt eine Sicherheitslücke. Nach Tagen des Rätselratens sorgte man nun für Klarheit und veröffentlichte eine Liste der betroffenen Systeme. Seit gestern Abend stehen korrigierte Versionen der Firmwares zum Download bereit. Citrix empfiehlt dringend diese schnellstmöglich zu installieren. In der offiziellen Stellungnahme dazu heißt es:
„A vulnerability has been identified in the management interface of Citrix NetScaler Application Delivery Controller (ADC) and NetScaler Gateway that, if exploited, could allow an attacker with access to the NetScaler management interface to gain administrative access to the appliance.“
“In der Verwaltungsoberfläche von Citrix NetScaler Application Delivery Controller (ADC) und NetScaler Gateway wurde eine Schwachstelle identifiziert, die einem Angreifer mit Zugriff auf die Verwaltungsoberfläche von NetScaler, falls sie ausgenutzt werden, den administrativen Zugriff auf das System ermöglichen könnte.“
Betroffen sind folgende Systeme:
- Citrix NetScaler ADC and NetScaler Gateway version 12.0 earlier than build 53.13 (except for build 41.24)
- Citrix NetScaler ADC and NetScaler Gateway version 11.1 earlier than build 55.13
- Citrix NetScaler ADC and NetScaler Gateway version 11.0 earlier than build 70.16
- Citrix NetScaler ADC and NetScaler Gateway version 10.5 earlier than build 66.9
- Citrix NetScaler ADC and NetScaler Gateway version 10.5e earlier than build 60.7010.e
- Citrix NetScaler ADC and NetScaler Gateway version 10.1 earlier than build 135.18
Um diese Sicherheitsanfälligkeit auszunutzen, benötigt ein Angreifer Zugriff auf die Verwaltungsoberfläche des NetScaler. In Situationen, in denen Kunden ihre NetScaler ADC- und Gateway-Appliances entsprechend den „Best Practices“ der Industrie eingesetzt haben, sollte der Netzwerkzugriff auf diese Schnittstelle bereits eingeschränkt sein.
Die aktuellen Firmware-Versionen können unter folgenden Adressen heruntergeladen werden:
https://www.citrix.com/downloads/netscaler-adc/
https://www.citrix.com/downloads/netscaler-gateway/
Nicht zuletzt empfiehlt Citrix seinen Kunden, den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdigen Netzwerkverkehr zu beschränken.
Quelle: https://support.citrix.com/article/CTX227928
