«ФСТЭК России»

Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»
  1. Главная
  2. Список уязвимостей
  3. BDU:2023-00008

BDU:2023-00008: Уязвимость контроллера доставки приложений Citrix ADC (ранее Citrix NetScaler Application Delivery Controller), системы контроля доступа к виртуальной среде Citrix Gateway (ранее Citrix NetScaler Gateway), связанная с недостаточной проверкой подлинности данных, позволяющая нарушителю получить доступ к шлюзу (настроенному в режиме RDP-прокси)

Описание уязвимости

Уязвимость контроллера доставки приложений Citrix ADC (ранее Citrix NetScaler Application Delivery Controller), системы контроля доступа к виртуальной среде Citrix Gateway (ранее Citrix NetScaler Gateway) связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к шлюзу (настроенному в режиме RDP-прокси)

Вендор

Citrix Systems Inc.

Наименование ПО

Citrix Gateway, Citrix ADC

Версия ПО

  • от 12.1 до 12.1-65.21 (Citrix Gateway)
  • от 13.0 до 13.0-88.12 (Citrix Gateway)
  • от 13.1 до 13.1-33.41 (Citrix Gateway)
  • от 13.1 до 13.1-33.47 (Citrix ADC)
  • от 13.0 до 13.0-88.12 (Citrix ADC)
  • от 12.1 до 12.1-65.21 (Citrix ADC)

Тип ПО

ПО виртуализации/ПО виртуального программно-аппаратного средства, Сетевое средство, Сетевое программное средство

Операционные системы и аппаратные платформы

Данные уточняются

Тип ошибки

Недостаточная проверка подлинности данных

Идентификатор типа ошибки

Класс уязвимости

Уязвимость кода

Дата выявления

08.11.2022

Базовый вектор уязвимости

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,6)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
1. Подключение встроенного профиля HTTP (nshttp_default_strict_validation) к одному или нескольким виртуальным серверам с помощью следующих команд:
set lb vserver -httpProfileName nshttp_default_strict_validation
set cs vserver -httpProfileName nshttp_default_strict_validation

2. Отключение мультиплексирование HTTP для предотвращения атак "контрабанда HTTP-запросов" с помощью команды (глобально):
set ns httpParam -conMultiplex DISABLED
или (для отдельного профиля):
set httpProfile -conMultiplex DISABLED

3. Отключение параметра "passProtocolUpgrade"

Использование рекомендаций:
https://support.citrix.com/article/CTX463706/citrix-gateway-and-citrix-adc-security-bulletin-for-cve202227510-cve202227513-and-cve202227516
https://support.citrix.com/article/CTX472830/citrix-adc-http-request-smuggling-reference-guide

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Способ эксплуатации

  • Подмена при взаимодействии

Способ устранения

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://support.citrix.com/article/CTX463706/citrix-gateway-and-citrix-adc-security-bulletin-for-cve202227510-cve202227513-and-cve202227516
https://support.citrix.com/article/CTX472830/citrix-adc-http-request-smuggling-reference-guide

Идентификаторы других систем описаний уязвимостей

Прочая информация

Эксплуатация уязвимости возможна, только если шлюз был настроен как VPN.
Последние изменения

Угрозы: 222 Уязвимости: 52823 Последнее обновление: 08.12.2023

© ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

Яндекс.Метрика