正文

Citrix ADC和Citrix Gateway远程代码执行漏洞（CVE-2022-27518）

admin
admin V管理员 /0 评论 /253 阅读
0110
此篇文章发布距今已超过618天，您需要注意文章的内容或图片是否可用！
阅读： 9

一、漏洞概述

12月14日，绿盟科技CERT监测到Citrix官方发布了一个存在于Citrix ADC 和 Gateway的远程代码执行漏洞（CVE-2022-27518）。由于系统在资源的生命周期内的控制存在缺陷，当Citrix ADC和Citrix Gateway配置为安全断言标记语言(SAML)服务提供商(SP)或SAML身份提供商(IdP)时，未经身份验证的远程攻击者可利用此漏洞在目标系统上执行任意代码。CVSS评分9.8。目前已监测到在野利用，请相关用户尽快采取措施进行防护。

Citrix ADC能够提供最全面的虚拟化高级Web和应用程式，以及远程访问服务的功能和负载平衡解决方案。Citrix Gateway是一套安全的远程接入解决方案，能够提供具有多种身份识别和访问管理 (IdAM) 功能的安全远程访问解决方案。

参考链接：

https://support.citrix.com/article/CTX474995/citrix-adc-and-citrix-gateway-security-bulletin-for-cve202227518

二、影响范围

受影响版本

  • Citrix ADC and Citrix Gateway 13.0-x< 13.0-58.32
  • Citrix ADC and Citrix Gateway 1-x < 12.1-65.25
  • Citrix ADC 12.1-FIPS < 12.1-55.291
  • Citrix ADC 12.1-NDcPP < 12.1-55.291

不受影响版本

  • Citrix ADC and Citrix Gateway >= 13.0-58.32
  • Citrix ADC and Citrix Gateway >= 1-65.25
  • Citrix ADC 12.1-FIPS >= 12.1-55.291
  • Citrix ADC 12.1-NDcPP >= 12.1-55.291

三、漏洞检测

  • 排查建议

用户可以通过排查ns.conf文件以确定是否配置为SAML SP或SAML IdP，若出现以下任意一条指令且为受影响版本，则可能受该漏洞影响，需进行立即更新：

add authentication samlAction

add authentication samlIdPProfile

用户也可以通过以下YARA签名验证攻击者在该活动中使用的恶意软件：

 

rule tricklancer_a {

strings:

$str1 = “//var//log//ns.log” nocase ascii wide

$str2 = “//var//log//cron” nocase ascii wide

$str3 = “//var//log//auth.log” nocase ascii wide

$str4 = “//var//log//httpaccess-vpn.log” nocase ascii wide

$str5 = “//var//log//nsvpn.log” nocase ascii wide

$str6 = “TF:YYYYMMddhhmmss” nocase ascii wide

$str7 = “//var//log//lastlog” nocase ascii wide

$str8 = “clear_utmp” nocase ascii wide

$str9 = “clear_text_http” nocase ascii wide

condition:

7 of ($str*)

}

rule tricklancer_b {

strings:

$str1 = “nsppe” nocase ascii wide

$str2 = “pb_policy -h nothing” nocase ascii wide

$str3 = “pb_policy -d” nocase ascii wide

$str4 = “findProcessListByName” nocase ascii wide

$str5 = “restoreStateAndDetach” nocase ascii wide

$str6 = “checktargetsig” nocase ascii wide

$str7 = “DoInject” nocase ascii wide

$str8 = “DoUnInject” nocase ascii wide

condition:

7 of ($str*)

}

rule tricklancer_c {

strings:

$str1 = “is_path_traversal_or_vpns_attack_request” nocase ascii wide

$str2 = “ns_vpn_process_unauthenticated_request” nocase ascii wide

$str3 = “mmapshell” nocase ascii wide

$str4 = “DoUnInject” nocase ascii wide

$str5 = “CalcDistanse” nocase ascii wide

$str6 = “checkMyData” nocase ascii wide

$str7 = “vpn_location_url_len” nocase ascii wide

condition:

5 of ($str*)

}

 

用户若通过上述检测方法发现存在问题，可通过以下措施进行缓解：

（1）在访问Citrix ADC之前，将所有Citrix ADC实例移动到VPN或其他存在身份验证（最好是多因素）的功能后面。

（2）将Citrix ADC设备与环境隔离。

（3）将Citrix ADC恢复至安全配置状态。

 

参考链接：

https://media.defense.gov/2022/Dec/13/2003131586/-1/-1/0/CSA-APT5-CITRIXADC-V1.PDF

四、漏洞防护

目前官方已发布安全版本修复此漏洞，建议受影响的用户及时升级防护：

https://www.citrix.com/downloads/citrix-adc/

https://www.citrix.com/downloads/citrix-gateway/

 

声明

本安全公告仅用来描述可能存在的安全问题，绿盟科技不为此安全公告提供任何保证或承诺。由于传播、利用此安全公告所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，绿盟科技以及安全公告作者不为此承担任何责任。

绿盟科技拥有对此安全公告的修改和解释权。如欲转载或传播此安全公告，必须保证此安全公告的完整性，包括版权声明等全部内容。未经绿盟科技允许，不得任意修改或者增减此安全公告内容，不得以任何方式将其用于商业目的。


宙飒天下网