Thực thi lệnh chưa xác thực do lỗi xác thực đầu vào trong Citrix NetScaler ADC và Citrix NetScaler Gateway

Vulnerability do xác thực đầu vào không đúng cách trong Citrix NetScaler ADC và Citrix NetScaler Gateway. Vấn đề này ảnh hưởng đến ADC: trước 14.1-73.37, trước 13.1-64.23, trước 14.1-73.37 FIPS và trước 13.1.37.279 FIPS và NDcPP; Gateway: trước 14.1-73.37 và trước 13.1-64.23, khiến kẻ tấn công chưa xác thực có thể thực thi các lệnh tùy ý.

• Citrix NetScaler ADC và Citrix NetScaler Gateway, nhánh 14.1: Bị ảnh hưởng trước 14.1-73.37.
• Citrix NetScaler ADC và Citrix NetScaler Gateway, nhánh 13.1: Bị ảnh hưởng trước 13.1-64.23.
• Citrix NetScaler ADC 14.1-FIPS: Bị ảnh hưởng trước 14.1-73.37 FIPS.
• Citrix NetScaler ADC 13.1-FIPS và 13.1-NDcPP: Bulletin của Citrix ghi ranh giới bị ảnh hưởng là trước 13.1-37.279, trong khi hướng dẫn nâng cấp của bulletin nêu build 13.1.37.279; bản ghi được cung cấp biểu diễn nhánh này là trước 13.1.37.279 FIPS and NDcPP. Cần đối chiếu cách đặt tên build với bulletin hiện hành trước khi xác nhận trạng thái của thiết bị.
• Phạm vi bulletin là các triển khai customer-managed. Các instance NetScaler trong Secure Private Access Hybrid cũng bị ảnh hưởng. Citrix cho biết các cloud service và Adaptive Authentication do Citrix quản lý được cập nhật bởi nhà cung cấp.

Citrix NetScaler ADC và Citrix NetScaler Gateway xử lý dữ liệu đầu vào mà không xác thực đầy đủ, tạo điều kiện cho việc thực thi lệnh từ xa. Lỗ hổng thuộc nhóm CWE-20: Improper Input Validation và áp dụng cho mọi triển khai ADC và Gateway, kể cả cấu hình mặc định, không cần bật thêm tính năng nào. Kẻ tấn công có thể tiếp cận qua mạng mà không cần xác thực hoặc tương tác với người dùng; hồ sơ chuẩn hóa cũng phân loại độ phức tạp tấn công là thấp. Các nguồn được kiểm tra không nêu trường dữ liệu, endpoint, parser, hàm xử lý hoặc ngữ cảnh đặc quyền cụ thể liên quan đến việc thực thi lệnh, vì vậy các chi tiết triển khai này vẫn chưa được xác định.

Lỗ hổng có thể bị khai thác qua mạng bởi kẻ tấn công chưa xác thực và không yêu cầu tương tác của người dùng. Hồ sơ chuẩn hóa đánh dấu lỗ hổng là đã bị khai thác và có public exploit; Citrix cũng cho biết đã quan sát thấy việc khai thác trên các triển khai NetScaler chưa được khắc phục. Nội dung bulletin được kiểm tra không cung cấp mã khai thác, payload, endpoint mục tiêu, chiến dịch, nạn nhân hoặc IOC cụ thể. Vì vậy, cần coi các thiết bị customer-managed thuộc phạm vi ảnh hưởng là đang có rủi ro thực tế, thay vì chờ phát hiện dấu hiệu xâm nhập.

Khai thác thành công có thể cho phép thực thi lệnh tùy ý trên Citrix NetScaler ADC hoặc Citrix NetScaler Gateway. Hậu quả kỹ thuật có thể ảnh hưởng đồng thời đến tính bí mật, toàn vẹn và khả dụng của appliance, bao gồm việc đọc dữ liệu mà appliance có thể truy cập, sửa đổi cấu hình hoặc làm gián đoạn dịch vụ. Mức độ ảnh hưởng đến hệ thống phía sau phụ thuộc vào quyền của tiến trình, vị trí mạng và các kết nối được cấu hình; các nguồn hiện có không xác nhận một đường di chuyển ngang, cơ chế duy trì truy cập hoặc hệ thống đích cụ thể. Việc không yêu cầu xác thực và áp dụng cả cấu hình mặc định làm giảm đáng kể các điều kiện cần để một cuộc tấn công bắt đầu.

• Thiết bị biên và dịch vụ truy cập: Thực thi lệnh trên ADC hoặc Gateway có thể làm thay đổi cấu hình xử lý lưu lượng, chính sách truy cập hoặc trạng thái dịch vụ, dẫn đến gián đoạn hoặc chuyển hướng lưu lượng.
• Dữ liệu và bí mật: Tùy quyền của tiến trình và cách triển khai, kẻ tấn công có thể truy cập dữ liệu mà thiết bị xử lý hoặc các thông tin cấu hình mà thiết bị có thể đọc được.
• Toàn vẹn hệ thống: Kẻ tấn công có thể thực hiện thay đổi trái phép trên appliance hoặc dùng appliance làm điểm trung gian để tiếp cận các dịch vụ liên quan.
• Giới hạn: Các nguồn hiện có không xác định quyền thực thi lệnh cụ thể, hệ thống downstream nào bị ảnh hưởng, hay một sự cố rò rỉ dữ liệu cụ thể nào.

1. Nâng cấp ngay các triển khai Citrix NetScaler ADC và Citrix NetScaler Gateway thuộc phạm vi bị ảnh hưởng lên build được Citrix nêu trong bulletin:

• Nhánh 14.1: 14.1-73.37 và các bản phát hành sau đó trong nhánh 14.1.
• Nhánh 13.1: 13.1-64.23 và các bản phát hành sau đó trong nhánh 13.1.
• ADC 14.1-FIPS: 14.1-73.37 FIPS và các bản phát hành sau đó trong nhánh 14.1-FIPS.
• ADC 13.1-FIPS và 13.1-NDcPP: 13.1.37.279 và các bản phát hành sau đó trong các nhánh tương ứng.

1. Kiểm kê cả appliance độc lập, cụm HA và các instance NetScaler được dùng trong Secure Private Access Hybrid; không giới hạn việc kiểm tra ở các thiết bị có bật thêm tính năng vì lỗ hổng áp dụng cả cấu hình mặc định.
2. Nếu đang sử dụng nhánh FIPS hoặc NDcPP, xác nhận chính xác nhãn build và nhánh phát hành trước khi chọn gói cập nhật. Bulletin của Citrix dùng cách ghi không hoàn toàn nhất quán cho ranh giới 13.1-37.279 và build 13.1.37.279.
3. Sau khi cập nhật, xác minh lại phiên bản thực tế trên từng appliance và rà soát thay đổi cấu hình, tài khoản quản trị, log truy cập và hoạt động bất thường trong khoảng thời gian thiết bị chưa được khắc phục.
4. Các nguồn đã kiểm tra không mô tả một workaround CVE-specific thay thế cho việc nâng cấp. Không nên xem việc tắt một tính năng tùy chọn là biện pháp đủ dùng, vì Citrix nêu rằng lỗ hổng không yêu cầu tính năng bổ sung.

1. Lập danh sách tất cả thiết bị Citrix NetScaler ADC và Citrix NetScaler Gateway customer-managed, bao gồm các instance NetScaler trong Secure Private Access Hybrid.
2. Kiểm tra build đang chạy và đối chiếu riêng từng nhánh phát hành với các ranh giới trong affected_summary; không chỉ dựa vào việc thiết bị có bật tính năng Gateway hay không vì lỗ hổng không yêu cầu tính năng bổ sung.
3. Xác định các thiết bị FIPS và NDcPP để áp dụng đúng nhánh build tương ứng.
4. Rà soát log truy cập, thay đổi cấu hình, hoạt động quản trị và kết nối bất thường sau khi xác định thiết bị thuộc nhánh bị ảnh hưởng. Đây là biện pháp rà soát thận trọng, không phải IOC đã được Citrix xác nhận.
5. Bulletin được kiểm tra không đưa ra chữ ký log hoặc IOC cụ thể cho lỗ hổng này; không nên coi việc không thấy sự kiện đáng ngờ là bằng chứng thiết bị an toàn.