高危保安警報 (A20-01-02): Citrix Application Delivery Controller 及 Citrix Gateway 漏洞

描述:

Citrix ADC 及 Citrix Gateway被發現一個漏洞。未經身份驗證的遠程攻擊者可以向受影響的系統發送特製指令，從而攻擊此漏洞。

用戶應立即採取行動修補受影響的Citrix Application Delivery Controller（ADC）及 Citrix Gateway（以前被稱為NetScaler ADC和NetScaler Gateway）中的嚴重漏洞（CVE-2019-19781）。由於針對該漏洞的概念驗證和完全可行的程式碼已被公開，攻擊者及研究人員正積極掃描易受攻擊的系統。含有漏洞的系統受到攻擊的風險將會提升。

受影響的系統:

• Citrix ADC 及 Citrix Gateway 13.0 版本
• Citrix ADC 及 NetScaler Gateway 12.1 版本
• Citrix ADC 及 NetScaler Gateway 12.0 版本
• Citrix ADC 及 NetScaler Gateway 11.1 版本
• Citrix NetScaler ADC 及 NetScaler Gateway 10.5 版本

影響:

成功利用這個漏洞可以在受影響系統導致執行任意程式碼。

建議:

Citrix 尚未發布相關修補程式來解決該漏洞，但可以使用臨時解決方法。即使只是臨時解決方法，受影響系統的用戶也應立即應用，以減低遭受潛在網絡攻擊的可能性。臨時解決方法的詳情：

https://support.citrix.com/article/CTX267679

Citrix 宣布了所有受支援的 Citrix ADC 及 Citrix Gateway 版本的修補程式的預計發布日期。預計所有修補程式都將在2020年1月底之前發布。

• 10.5 版本
  10.5.70.x 的預計發布日期: 31.1.2020
  
  
• 11.1 版本
  11.1.63.x 的預計發布日期: 20.1.2020
  
  
• 12.0 版本
  12.0.63.x 的預計發布日期: 20.1.2020
  
  
• 12.1 版本
  12.1.55.x 的預計發布日期: 27.1.2020
  
  
• 13.0 版本
  13.0.47.x 的預計發布日期: 27.1.2020
  
  

進一步資訊:

https://support.citrix.com/article/CTX267027
https://support.citrix.com/article/CTX267679
https://www.us-cert.gov/ncas/current-activity/2020/01/08/citrix-application-delivery-controller-and-citrix-gateway
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-19781