Citrix は、さまざまなネットワーク製品に存在する CVE リストに記載された 11 件のセキュリティ脆弱性に対するパッチをリリースしました。
このバンドルには、コード インジェクション バグ 1 件、情報漏洩の脆弱性 3 件、権限昇格のバグ 3 件、クロスサイト スクリプティングの脆弱性 2 件、サービス拒否の脆弱性 1 件、認証バイパスの脆弱性 1 件に対する修正が含まれています。
影響を受ける機器には、Citrix Application Delivery Controller（ADC）、Citrix Gateway、Citrix SD-WAN WANOPが含まれます。現時点では、これらのバグが実際に攻撃対象となったという報告はありませんが、NSAのエリートハッカーチーム「Tailored Access Operations」の元責任者であるRob Joyce氏は、F5とPalo Altoのネットワーク機器の脆弱性に対する修正が公開された直後に、管理者にパッチの適用を強く求めました。
Citrixの脆弱性。まるで狼少年のようですが、実際は…「パッチ適用必須」の脆弱性の3件目です。認証されていないアクセスやリモートコード実行（RCE）など、悪用される可能性のある複数の問題から確実に保護するために、最新のパッチを適用してください。https://t.co/0XLgPO9aML
— ロブ・ジョイス（@RGB_Lights）2020年7月7日
コードインジェクションの脆弱性（CVE-2020-8194）は興味深いものです。Citrixによると、認証されていないリモート攻撃者は、ゲートウェイのIPアドレスからダウンロード可能な悪意のある実行ファイルを潜在的な被害者に提示することが可能です。標的がネットワーク機器から取得した正規のアプリケーションファイルだと思い込み、そのファイルを取得して実行すると、ローカルPC上で悪意のあるコードが実行されることになります。この謎めいた脆弱性に関する詳細は、現時点では不明です。
一方、Linux PC に依存しているユーザーは、Citrix Gateway Plugin for Linux の脆弱性である CVE-2020-8199 を確認することをお勧めします。この脆弱性は、不正なユーザーやシステムにすでに存在するマルウェアによって悪用され、権限が昇格されてさらなる被害を引き起こす可能性があります。
より標的になりやすい脆弱性としては、CVE-2020-8187があります。これはCitrix ADCおよびCitrix Gateway 12.0または11.1に存在するサービス拒否（DoS）の脆弱性で、認証なしでリモートから悪用される可能性があります。
管理者はCVE-2020-8198にも注意を払う必要があります。このクロスサイトスクリプティングの脆弱性は、認証なしで外部から悪用される可能性がありますが、攻撃者は脆弱なデバイスに管理者としてログインしている必要があります。言い換えれば、これはすべてのシステムを管理する人々に対する標的型攻撃に有効です。
オーストラリア首相、国家が深刻な国営「サイバー攻撃」を受けていると発言 ― マイクロソフト、シトリックス、テレリクのUIバグが「悪用」
続きを読む
別のクロスサイトスクリプティングの脆弱性 CVE-2020-8191 では、被害者が脆弱なゲートウェイと同じネットワーク上にいるときにリンクを開くだけで影響を受けるため、より広範囲にわたる問題となる可能性があります。
その他の脆弱性は、主に攻撃者がデバイスにログインしている必要があります。具体的には、CVE-2020-8195、CVE-2020-8196（情報漏洩）、CVE-2020-8197などが挙げられます。認証なしでリモートから悪用可能な脆弱性ほど深刻ではありませんが、攻撃者が1台のデバイスに侵入しただけでも、これらの脆弱性を利用してさらなる制御とアクセスを獲得できるため、早急にパッチを適用する価値があります。
クリスマスのセキュリティ危機の再発を避けるため、CitrixはADCとGatewayでリモートコード実行バグが明らかになった際、CISOのFermin Serna氏を招き、これらのバグは12月に発生した悪名高いCVE-2019-19781「Shitrix」の脆弱性ほど深刻ではなく、簡単に悪用されるものではないと説明し、管理者の不安を和らげようと努めた。
「これらの攻撃の多くには防御策があります。特に、管理ネットワーク上に信頼できないトラフィックが存在しないお客様にとって、残存するリスクはサービス拒否攻撃程度に軽減されます。そして、その場合、ゲートウェイまたは認証仮想サーバーが使用されている場合に限られます」とセルナ氏は指摘しました。
「負荷分散やコンテンツスイッチング仮想サーバーなどの他の仮想サーバーは、この問題の影響を受けません。」
経験豊富な他の人は、これに反対するかもしれません。®
