Lỗi tràn bộ nhớ trên Citrix NetScaler ADC và Gateway dẫn đến thực thi mã từ xa hoặc từ chối dịch vụ

Lỗ hổng trong Citrix NetScaler ADC và Citrix NetScaler Gateway. Vấn đề này ảnh hưởng đến ADC: các phiên bản trước 14.1-73.37, trước 13.1-64.23, trước 14.1-73.37 FIPS và trước 13.1.37.279 FIPS và NDcPP; Gateway: các phiên bản trước 14.1-73.37 và trước 13.1-64.23, dẫn đến thực thi mã từ xa hoặc từ chối dịch vụ.

• Citrix NetScaler ADC và Citrix NetScaler Gateway, nhánh 14.1: bị ảnh hưởng trước 14.1-73.37. Nhà cung cấp xác định 14.1-73.37 và các bản phát hành sau đó của nhánh này là mốc cập nhật.
• Citrix NetScaler ADC và Citrix NetScaler Gateway, nhánh 13.1: bị ảnh hưởng trước 13.1-64.23. Nhà cung cấp xác định 13.1-64.23 và các bản phát hành sau đó của nhánh 13.1 là mốc cập nhật.
• Citrix NetScaler ADC 14.1-FIPS: bị ảnh hưởng trước 14.1-73.37 FIPS. Mốc cập nhật được nhà cung cấp nêu là 14.1-73.37 FIPS và các bản phát hành sau đó của nhánh 14.1-FIPS.
• Citrix NetScaler ADC 13.1-FIPS và 13.1-NDcPP: bản ghi chuẩn hóa xác định các phiên bản trước 13.1.37.279 là bị ảnh hưởng; advisory của nhà cung cấp nêu 13.1.37.279 và các bản phát hành sau đó của 13.1-FIPS và 13.1-NDcPP là mốc cập nhật.
• Bulletin áp dụng cho các triển khai NetScaler do khách hàng tự quản lý. Cloud Software Group cho biết các cloud service do Citrix quản lý và Citrix-managed Adaptive Authentication được cập nhật riêng.

Citrix NetScaler ADC và Citrix NetScaler Gateway có lỗi tràn bộ nhớ trong quá trình xử lý DTLS, được phân loại là CWE-119: hạn chế không đúng các thao tác trong phạm vi bộ đệm bộ nhớ. Điều kiện khai thác là DTLS được bật trên appliance hoặc virtual server. Trên NetScaler Gateway, DTLS được bật mặc định trên VPN vServer nếu không bị vô hiệu hóa rõ ràng; các virtual server khác đáp ứng điều kiện khi được cấu hình với kiểu DTLS. Kẻ tấn công có thể tiếp cận qua mạng, không cần quyền xác thực hoặc tương tác của người dùng, nhưng bản đánh giá được cung cấp cho thấy độ phức tạp khai thác cao. Kết quả có thể là thực thi mã từ xa hoặc từ chối dịch vụ. Advisory không công bố hàm, đường dẫn xử lý, cấu trúc gói tin hoặc dữ liệu đầu vào độc hại cụ thể, vì vậy cơ chế chính xác dẫn đến lỗi tràn bộ nhớ vẫn chưa được xác định từ bằng chứng hiện có.

Lỗ hổng có thể bị khai thác từ xa qua mạng khi cấu hình DTLS đáp ứng điều kiện. Bản ghi chuẩn hóa xác định không cần quyền truy cập và không cần tương tác người dùng, nhưng yêu cầu độ phức tạp khai thác cao. Citrix cho biết các hoạt động khai thác lỗ hổng trên các triển khai NetScaler chưa được xử lý đã được quan sát. Bản ghi cũng đánh dấu lỗ hổng là đã bị khai thác và có public exploit. Bằng chứng hiện có không nêu tên exploit, payload, chiến dịch, nạn nhân hoặc chỉ dấu xâm nhập cụ thể.

Lỗi cho phép một kẻ tấn công từ xa tác động vào quá trình xử lý DTLS trên appliance bị ảnh hưởng. Kết quả trực tiếp được xác nhận là thực thi mã từ xa hoặc từ chối dịch vụ. Nếu thực thi mã từ xa thành công, việc kiểm soát appliance và ảnh hưởng đến tính bí mật, toàn vẹn hoặc khả dụng của lưu lượng và dịch vụ đi qua nó là khả năng có thể xảy ra, nhưng bằng chứng hiện có không mô tả chuỗi khai thác cụ thể. Nếu khai thác chỉ gây lỗi hoặc làm tiến trình bị dừng, các dịch vụ VPN, gateway hoặc dịch vụ mạng phụ thuộc có thể bị gián đoạn. Điều kiện DTLS là giới hạn quan trọng: một appliance chỉ cài đặt sản phẩm nhưng không đáp ứng điều kiện cấu hình này không được xác định là bị ảnh hưởng bởi lỗi cụ thể này.

• Gián đoạn dịch vụ: Khai thác lỗi có thể làm NetScaler ADC hoặc NetScaler Gateway ngừng cung cấp dịch vụ, ảnh hưởng đến truy cập từ xa, cân bằng tải hoặc các dịch vụ phụ thuộc vào appliance.
• Rủi ro kiểm soát appliance: Nếu đạt được thực thi mã từ xa, kẻ tấn công có thể chiếm quyền điều khiển thành phần mạng bị ảnh hưởng; việc này có thể kéo theo rủi ro đối với tính bí mật và toàn vẹn của dữ liệu đi qua appliance.
• Phạm vi ưu tiên: Các appliance do khách hàng tự quản lý, có thể truy cập qua mạng và bật DTLS cần được xử lý trước. Secure Private Access Hybrid deployments sử dụng các instance NetScaler cũng nằm trong phạm vi cần kiểm tra.
• Ứng phó sự cố: Vì hoạt động khai thác đã được nhà cung cấp quan sát, tổ chức nên kết hợp cập nhật với rà soát dấu hiệu xâm nhập trên các instance chưa được bảo vệ. Bằng chứng hiện có không xác nhận một vụ xâm nhập cụ thể nào.

1. Cập nhật ngay: Nâng cấp Citrix NetScaler ADC và Citrix NetScaler Gateway lên 14.1-73.37 hoặc bản phát hành sau đó của nhánh 14.1; hoặc lên 13.1-64.23 hoặc bản phát hành sau đó của nhánh 13.1.
2. Với Citrix NetScaler ADC 14.1-FIPS, nâng cấp lên 14.1-73.37 FIPS hoặc bản phát hành sau đó của nhánh 14.1-FIPS.
3. Với Citrix NetScaler ADC 13.1-FIPS và 13.1-NDcPP, nâng cấp lên 13.1.37.279 hoặc bản phát hành sau đó của các nhánh tương ứng.
4. Trước và trong quá trình cập nhật, lập danh sách các VPN vServer và virtual server kiểu DTLS. Nếu chưa thể cập nhật ngay, đánh giá việc vô hiệu hóa DTLS trên các endpoint không cần dùng; trên VPN vServer, cấu hình phải thể hiện việc vô hiệu hóa rõ ràng. Biện pháp này chỉ loại bỏ điều kiện tiền đề được advisory mô tả và không được xem là thay thế cho bản vá.
5. Do Citrix đã quan sát thấy hoạt động khai thác, thực hiện forensic triage đối với các appliance chưa được cập nhật, có thể truy cập từ mạng và đáp ứng điều kiện DTLS. Nếu không thể áp dụng bản cập nhật hoặc biện pháp giảm thiểu phù hợp, cần đánh giá cô lập hoặc ngừng sử dụng instance bị ảnh hưởng theo quy trình quản trị rủi ro của tổ chức.

1. Lập danh sách tất cả Citrix NetScaler ADC và Citrix NetScaler Gateway do tổ chức tự quản lý, sau đó đối chiếu phiên bản và nhánh phát hành với các ranh giới trong phần affected_summary.
2. Kiểm tra cấu hình để xác định các virtual server có bật DTLS. Trên NetScaler Gateway, cần coi DTLS là đang bật nếu cấu hình VPN vServer không có tùy chọn vô hiệu hóa rõ ràng.
3. Tìm các mẫu cấu hình đã được advisory nêu, gồm add vpn vserver vpn1 SSL 10.0.0.0 443 -Listenpolicy NONE, add vpn vserver vs1 DTLS 10.11.1.1 443 và add lb vserver vd_dtls DTLS 10.146.111.74 443 -persistenceType NONE -cltTimeout 120.
4. Xác nhận các cấu hình có -dtls OFF thực sự vô hiệu hóa DTLS trên VPN vServer. Điều này loại bỏ điều kiện tiền đề được advisory mô tả, nhưng không thay thế cho việc cập nhật bản vá.
5. Ưu tiên rà soát và forensic triage các appliance chưa được cập nhật, có thể truy cập từ mạng và đáp ứng điều kiện DTLS, vì nhà cung cấp đã thông báo quan sát thấy hoạt động khai thác.
6. Có thể rà soát telemetry mạng và log appliance để tìm hoạt động bất thường như một biện pháp phòng ngừa. Advisory được kiểm tra không cung cấp IOC cụ thể cho lỗ hổng này, và việc không thấy bằng chứng trong log không chứng minh appliance an toàn.