Citrix ADC和Citrix Gateway远程代码执行漏洞安全风险通告

Citrix ADC和Citrix Gateway 是美国思杰（Citrix）公司的两款产品。Citrix ADC主要用于将用户对Web页面和其他受保护应用程序的请求分配到所有托管（或镜像）相同内容的多台服务器。Citrix Gateway则是一套安全的远程接入解决方案，可提供应用级和数据级管控功能，以实现用户从任何地点远程访问应用和数据。

近日，奇安信CERT监测到 Citrix ADC和Citrix Gateway远程代码执行漏洞，由于系统未能在其整个生命周期（创建、使用和释放）保持对资源的控制，致使远程攻击者在未经身份验证的情况下可在目标系统上执行任意代码。鉴于该漏洞影响范围极大，且已监测到在野利用，建议客户尽快做好自查及防护。

威胁评估

处置建议

1、升级版本

目前Citrix官方已发布安全版本修复该漏洞，建议受影响用户尽快更新至对应的安全版本。

Citrix ADC和Citrix Gateway >= 13.0-58.32

Citrix ADC和Citrix Gateway >= 12.1-65.25

Citrix ADC 12.1-FIPS >= 12.1-55.291

Citrix ADC 12.1-NDcPP >= 12.1-55.291

2、排查建议

(1)通过排查ns.conf文件以确定是否配置为SAML SP或SAML IdP，如果出现以下任意一条指令且为受影响版本则需立即更新：

add authentication samlActionadd authentication samlIdPProfile

(2)可通过以下YARA签名验证攻击者在该活动中使用的恶意软件：

rule tricklancer_a {strings:$str1 ="//var//log//ns.log" nocase ascii wide$str2 ="//var//log//cron" nocase ascii wide$str3 ="//var//log//auth.log" nocase ascii wide$str4 ="//var//log//httpaccess-vpn.log" nocase ascii wide$str5 ="//var//log//nsvpn.log" nocase ascii wide$str6 ="TF:YYYYMMddhhmmss" nocase ascii wide$str7 ="//var//log//lastlog" nocase ascii wide$str8 ="clear_utmp" nocase ascii wide$str9 ="clear_text_http" nocase ascii widecondition:7 of ($str*)}rule tricklancer_b {strings:$str1 ="nsppe" nocase ascii wide$str2 ="pb_policy -h nothing" nocase ascii wide$str3 ="pb_policy -d" nocase ascii wide$str4 ="findProcessListByName" nocase ascii wide$str5 ="restoreStateAndDetach" nocase ascii wide$str6 ="checktargetsig" nocase ascii wide$str7 ="DoInject" nocase ascii wide$str8 ="DoUnInject" nocase ascii widecondition:7 of ($str*)}rule tricklancer_c {strings:$str1 ="is_path_traversal_or_vpns_attack_request" nocase ascii wide$str2 ="ns_vpn_process_unauthenticated_request" nocase ascii wide$str3 ="mmapshell" nocase ascii wide$str4 ="DoUnInject" nocase ascii wide$str5 ="CalcDistanse" nocase ascii wide$str6 ="checkMyData" nocase ascii wide$str7 ="vpn_location_url_len" nocase ascii widecondition:5 of ($str*)}

如果通过监测发现存在问题可通过以下措施进行缓解：

在能够访问Citrix ADC之前，将所有Citrix ADC实例移动到VPN或其他存在身份验证（最好是多因素）的功能后面

将Citrix ADC设备与环境隔离

将Citrix ADC恢复至已知安全状态

参考资料

[1]https://support.citrix.com/article/CTX474995/citrix-adc-and-citrix-gateway-security-bulletin-for-cve202227518

[2]https://www.citrix.com/blogs/2022/12/13/critical-security-update-now-available-for-citrix-adc-citrix-gateway/

[3]https://media.defense.gov/2022/Dec/13/2003131586/-1/-1/0/CSA-APT5-CITRIXADC-V1.PDF

标签： 身份验证 目标系统 生命周期