Описание
Уязвимость контроллера доставки приложений Citrix ADC (ранее Citrix NetScaler Application Delivery Controller), системы контроля доступа к виртуальной среде Citrix Gateway (ранее Citrix NetScaler Gateway) связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к шлюзу (настроенному в режиме RDP-прокси)
Вендор
Citrix Systems Inc.
Наименование ПО
Citrix Gateway
Citrix ADC
Версия ПО
от 12.1 до 12.1-65.21 (Citrix Gateway)
от 13.0 до 13.0-88.12 (Citrix Gateway)
от 13.1 до 13.1-33.41 (Citrix Gateway)
от 13.1 до 13.1-33.47 (Citrix ADC)
от 13.0 до 13.0-88.12 (Citrix ADC)
от 12.1 до 12.1-65.21 (Citrix ADC)
Тип ПО
ПО виртуализации/ПО виртуального программно-аппаратного средства
Сетевое средство
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,6)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
1. Подключение встроенного профиля HTTP (nshttp_default_strict_validation) к одному или нескольким виртуальным серверам с помощью следующих команд:
set lb vserver <vserver_name> -httpProfileName nshttp_default_strict_validation
set cs vserver <vserver_name> -httpProfileName nshttp_default_strict_validation
2. Отключение мультиплексирование HTTP для предотвращения атак "контрабанда HTTP-запросов" с помощью команды (глобально):
set ns httpParam -conMultiplex DISABLED
или (для отдельного профиля):
set httpProfile <profile_name> -conMultiplex DISABLED
3. Отключение параметра "passProtocolUpgrade"
Использование рекомендаций:
https://support.citrix.com/article/CTX463706/citrix-gateway-and-citrix-adc-security-bulletin-for-cve202227510-cve202227513-and-cve202227516
https://support.citrix.com/article/CTX472830/citrix-adc-http-request-smuggling-reference-guide
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 59%
0.00387
Низкий
9.6 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
EPSS
Процентиль: 59%
0.00387
Низкий
9.6 Critical
CVSS3
10 Critical
CVSS2