Citrix publie des correctifs critiques pour 11 nouvelles failles affectant plusieurs produits

Citrix a publié hier de nouveaux correctifs de sécurité pour autant 11 failles de sécurité qui affectent ses produits réseau Citrix Application Delivery Controller (ADC), Gateway et SD-WAN WAN Optimization Edition (WANOP).

Une exploitation réussie de ces failles critiques pourrait permettre à des attaquants non authentifiés d’effectuer une injection de code, une divulgation d’informations et même des attaques par déni de service contre la passerelle ou le serveurs virtuels d’authentification.

Citrix a confirmé que les problèmes susmentionnés n’ont pas d’impact sur les autres serveurs virtuels, tels que l’équilibrage de charge et les serveurs virtuels de commutation de contenu.

Parmi les appliances Citrix SD-WAN WANOP concernées figurent les modèles 4000-WO, 4100-WO, 5000-WO et 5100-WO.

Le fournisseur de réseau a également réitéré que ces vulnérabilités n’étaient pas liées à une faille NetScaler zero-day précédemment corrigée (étiquetée comme CVE-2019-19781) qui permettait aux mauvais acteurs de jouer exécution de code arbitraire même sans authentification appropriée.

Il a également déclaré qu’il n’y avait aucune preuve que les failles nouvellement révélées soient exploitées dans la nature et que les obstacles à l’exploitation de ces failles sont élevés.

« Sur les 11 vulnérabilités, il existe six voies d’attaque possibles; cinq d’entre elles ont des barrières à l’exploitation », a déclaré Fermin Serna, CISO de Citrix. « Deux des trois attaques possibles restantes nécessitent en outre une forme d’accès existant. Cela signifie en fait qu’un acteur malveillant externe devrait d’abord avoir un accès non autorisé à un appareil vulnérable pour pouvoir mener une attaque. »

Bien que Citrix se soit abstenu de publier des détails techniques sur les vulnérabilités citant les efforts d’acteurs malveillants pour exploiter les correctifs et les informations pour faire de l’ingénierie inverse, les attaques sur l’interface de gestion des produits pourraient entraîner une compromission du système par un utilisateur non authentifié, ou via Cross- Site Scripting (XSS) sur l’interface de gestion.

Un adversaire pourrait également créer un lien de téléchargement pour un appareil vulnérable, ce qui pourrait entraîner la compromission d’un ordinateur local lors de l’exécution par un utilisateur non authentifié sur le réseau de gestion.

Une deuxième classe d’attaques concerne les adresses IP virtuelles (VIP), permettant à un attaquant de monter DoS contre la passerelle ou d’analyser à distance les ports du réseau interne.

«Les attaquants peuvent uniquement discerner si une connexion TLS est possible avec le port et ne peuvent plus communiquer avec les périphériques finaux», a noté Citrix dans son consultatif.

En outre, une vulnérabilité distincte dans le plug-in Citrix Gateway pour Linux (CVE-2020-8199) permettrait à un utilisateur connecté local d’un système Linux d’élever ses privilèges à un compte administrateur sur ce système.

Selon un Technologies positives rapport en décembre dernier, les applications de gestion du trafic et d’accès distant sécurisé sont utilisées par plus de 80 000 organisations à travers le monde.

Il est recommandé de télécharger et d’appliquer les dernières versions des appliances Citrix ADC, Citrix Gateway et Citrix SD-WAN WANOP dès que possible afin d’atténuer les risques et de se défendre contre les attaques potentielles conçues pour exploiter ces failles.