Citrix ADC和Citrix Gateway远程代码执行漏洞安全风险通告

Citrix ADC和Citrix Gateway 是美国思杰（Citrix）公司的两款产品。Citrix ADC主要用于将用户对Web页面和其他受保护应用程序的请求分配到所有托管（或镜像）相同内容的多台服务器。Citrix Gateway则是一套安全的远程接入解决方案，可提供应用级和数据级管控功能，以实现用户从任何地点远程访问应用和数据。

近日，奇安信CERT监测到 Citrix ADC和Citrix Gateway远程代码执行漏洞，由于系统未能在其整个生命周期（创建、使用和释放）保持对资源的控制，致使远程攻击者在未经身份验证的情况下可在目标系统上执行任意代码。鉴于该漏洞影响范围极大，且已监测到在野利用，建议客户尽快做好自查及防护。

漏洞名称	Citrix ADC和Citrix Gateway远程代码执行漏洞
公开时间	2022-12-13	更新时间	2022-12-14
CVE编号	CVE-2022-27518	其他编号	QVD-2022-46341
威胁类型	代码执行	技术类型	生命周期控制资源不当
厂商	Citrix	产品	Citrix ADC Citrix Gateway
风险等级
奇安信CERT风险评级		风险等级
高危		蓝色（一般事件）
现时威胁状态
POC状态	EXP状态	在野利用状态	技术细节状态
未发现	未发现	已发现	未公开
漏洞描述	Citrix ADC和Citrix Gateway配置为安全断言标记语言(SAML)服务提供商(SP)或SAML身份提供商(IdP)时，存在远程代码执行漏洞，未经身份验证的远程攻击者可利用此漏洞在目标系统上执行任意代码。
影响版本	Citrix ADC和Citrix Gateway 13.0-x < 13.0-58.32 Citrix ADC和Citrix Gateway 12.1-x < 12.1-65.25 Citrix ADC 12.1-FIPS < 12.1-55.291 Citrix ADC 12.1-NDcPP < 12.1-55.291
不受影响版本	Citrix ADC和Citrix Gateway >= 13.0-58.32 Citrix ADC和Citrix Gateway >= 12.1-65.25 Citrix ADC 12.1-FIPS >= 12.1-55.291 Citrix ADC 12.1-NDcPP >= 12.1-55.291
其他受影响组件	无

威胁评估

漏洞名称	Citrix ADC和Citrix Gateway远程代码执行漏洞
CVE编号	CVE-2022-27518	其他编号		QVD-2022-46341
CVSS 3.1评级	高危	CVSS 3.1分数		9.8
CVSS向量	访问途径（AV）		攻击复杂度（AC）
	网络		低
	所需权限（PR）		用户交互（UI）
	无		不需要
	影响范围（S）		机密性影响（C）
	不改变		高
	完整性影响（I）		可用性影响（A）
	高		高
危害描述	由于系统未能在其整个生命周期（创建、使用和释放）保持对资源的控制，致使远程攻击者在未经身份验证的情况下可在目标系统上执行任意代码。

处置建议

1、升级版本

目前Citrix官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。

Citrix ADC和Citrix Gateway >= 13.0-58.32

Citrix ADC和Citrix Gateway >= 12.1-65.25

Citrix ADC 12.1-FIPS >= 12.1-55.291

Citrix ADC 12.1-NDcPP >= 12.1-55.291

2、排查建议

(1)通过排查ns.conf文件以确定是否配置为SAML SP或SAML IdP，如果出现以下任意一条指令且为受影响版本则需立即更新：

add authentication samlActionadd authentication samlIdPProfile

(2)可通过以下YARA签名验证攻击者在该活动中使用的恶意软件：

rule tricklancer_a { strings:$str1 ="//var//log//ns.log" nocase ascii wide$str2 ="//var//log//cron" nocase ascii wide$str3 ="//var//log//auth.log" nocase ascii wide$str4 ="//var//log//httpaccess-vpn.log" nocase ascii wide$str5 ="//var//log//nsvpn.log" nocase ascii wide$str6 ="TF:YYYYMMddhhmmss" nocase ascii wide$str7 ="//var//log//lastlog" nocase ascii wide$str8 ="clear_utmp" nocase ascii wide$str9 ="clear_text_http" nocase ascii widecondition: 7 of ($str*)}rule tricklancer_b { strings:$str1 ="nsppe" nocase ascii wide$str2 ="pb_policy -h nothing" nocase ascii wide$str3 ="pb_policy -d" nocase ascii wide$str4 ="findProcessListByName" nocase ascii wide$str5 ="restoreStateAndDetach" nocase ascii wide$str6 ="checktargetsig" nocase ascii wide$str7 ="DoInject" nocase ascii wide$str8 ="DoUnInject" nocase ascii wide condition: 7 of ($str*)}rule tricklancer_c { strings:$str1 ="is_path_traversal_or_vpns_attack_request" nocase ascii wide$str2 ="ns_vpn_process_unauthenticated_request" nocase ascii wide$str3 ="mmapshell" nocase ascii wide$str4 ="DoUnInject" nocase ascii wide$str5 ="CalcDistanse" nocase ascii wide$str6 ="checkMyData" nocase ascii wide$str7 ="vpn_location_url_len" nocase ascii widecondition: 5 of ($str*) }

如果通过监测发现存在问题可通过以下措施进行缓解：