Citrix “Citrix ADC (eski adıyla NetScaler ADC), Citrix Gateway (eski adıyla NetScaler Gateway) ve Citrix SD-WAN WANOP cihazı modelleri 4000-WO, 4100-WO, 5000-WO ve 5100-WO’da birden fazla güvenlik açığı tespit edilmiştir” şeklinde açıklamalarda bulundu.
Güvenlik açıkları şu şekilde:
| CVE ID | Description | Vulnerability Type | Affected Products | Pre-conditions |
| CVE-2020-8245 | An HTML Injection attack against the SSL VPN web portal | CWE-79: Improper Neutralization of Input During Web Page Generation | Citrix ADC, Citrix Gateway | Requires an authenticated victim on the SSL VPN web portal who must open an attacker-controlled link in the browser |
| CVE-2020-8246 | A denial of service attack originating from the management network | CWE-400: Uncontrolled Resource Consumption | Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP | Unauthenticated attacker with access to the management network |
| CVE-2020-8247 | Escalation of privileges on the management interface | CWE-269: Improper Privilege Management | Citrix ADC, Citrix Gateway, Citrix SDWAN WAN-OP | An attacker must possess privilege to execute arbitrary commands on the management interface |
Zafiyetllerden etkilenen yazılım sürümleri ise şöyle:
- Citrix ADC ve Citrix Gateway 13.0-64.35 ve sonraki sürümler
- Citrix ADC ve NetScaler Gateway 12.1-58.15 ve sonraki sürümler
- Citrix ADC 12.1-FIPS 12.1-55.187 ve sonraki sürümler
- Citrix ADC ve NetScaler Gateway 11.1-65.12 ve sonraki sürümler
- Citrix SD-WAN WANOP 11.2.1a ve sonraki sürümler
- Citrix SD-WAN WANOP 11.1.2a ve sonraki sürümler
- Citrix SD-WAN WANOP 11.0.3f ve sonraki sürümler
- Citrix SD-WAN WANOP 10.2.7b ve sonraki sürümler
Ayrıca Citrix ADC, Citrix Gateway ve Citrix SD-WAN WANOP ürünlerinin üzerinde yukarıdaki yazılımların bir sürümü varsa “HTTP Request Smuggling” saldırısından etkilenmemeleri için bir klavuz yayınlandı.
Diğer bir zafiyet, Citrix ADC, Citrix Gateway ve Citrix SD-WAN WANOP ürünlerinin yönetim arayüzünde bulunmakta. Bu zafiyetlerin etkisini azaltmak için alınabilecek önlemlere buradan erişebilirsiniz.
Citrix ayrıca güvenlik açığı bulanan ürünler için zaman kaybetmeden son güncellemelerin yapılması konusunda uyarılarda bulundu.
Güncellemeler 1
Güncellemeler 2
Güncellemeler 3
Kaynak