9VSA20-00108-02 CSIRT comparte nueva actualización para productos Citrix
CSIRT comparte información obtenida de Citrix
Resumen
El Equipo de Respuesta ante Incidentes de Seguridad Informática, CSIRT, comparte información obtenida de Citrix, referente a una vulnerabilidad que afecta sus productos Citrix ADC, Citrix Gateway y Citrix SD-WAN WANOP, los cuales de ser explotados, permitirían a un atacante realizar la ejecución de código remoto sobre el sistema afectado. Este informe incluye la respectiva mitigación.
Vulnerabilidades
CVE-2019-19781
Impacto
Esta vulnerabilidad permitiría a un atacante remoto sin autenticación realizar ataques de ejecución de remoto arbitrario debido a un error en el balanceador de carga y aprovechándose de una vulnerabilidad de tipo directorio transversal. Es de urgencia aplicar las mitigaciones publicadas por Citrix, pues esta vulnerabilidad ya tiene exploits conocidos, compromete de manera grave al sistema afectado y no es difícil de ejecutar.
Productos Afectados
Citrix ADC y Citrix Gateway versión 13.0 (todas las builds con soporte).
Netscaler ADC y Netscaler Gateway versión 12.1 (todas las builds con soporte).
Netscaler ADC y Netscaler Gateway versión 12.0 (todas las builds con soporte anteriores a la 12.0.63.13).
Netscaler ADC y Netscaler Gateway versión 11.1 (todas las builds con soporte anteriores a la 11.1.63.15).
Netscaler ADC y Netscaler Gateway versión 10.5 (todas las builds con soporte).
Software y dispositivos Citrix SD-WAN WANOP modelos 4000, 4100, 5000 y 5100 (todas las builds con soporte).
Mitigación
Para subsanar esta vulnerabilidad, Citrix urge a todos sus clientes a aplicar las mitigaciones publicadas, siendo éstas las mismas para los 3 productos.
https://support.citrix.com/article/CTX267679
Se recomienda utilizar la siguiente herramienta para verificar que se ha mitigado correctamente la vulnerabilidad.
https://support.citrix.com/article/CTX269180
Fechas actualizaciones de seguridad:
Para las versiones 10.5, 12.1 y 13.0 de Citrix ADC y Citrix Gateway, se publicará la actualización el 24 de enero.
Para las versiones 10.2.6 y 11.0.3 de Citrix SD-WAN WANOP, se publicará la actualización el 24 de enero.
Para la versión 11.0 de Citrix ADC y Citrix Gateway, aplicar la build 11.1.63.15.
Para la versión 12.0 de Citrix ADC y Citrix Gateway, aplicar la build 12.0.63.13.
https://www.citrix.com/downloads/citrix-adc/
https://www.citrix.com/downloads/citrix-gateway/
Enlaces
https://support.citrix.com/article/CTX267027
https://cve.mitre.org/cgi-bin/cvename.cgi?name= CVE-2019-19781
Informe
El informe oficial publicado por el CSIRT del Gobierno de Chile está disponible en el siguiente enlace: 9VSA20-00108-02