Citrix heeft updates uitgebracht voor Citrix ADC en Citrix Gateway waarmee drie kwetsbaarheden worden verholpen, waarvan één kritiek. De kritieke kwetsbaarheid (CVE-2022-27510) stelt een kwaadwillende op afstand in staat om de authenticatie op het systeem te omzeilen en hiermee toegang te verkrijgen tot gebruikersmogelijkheden. Nadere details m.b.t. de kwetsbaarheid zijn niet bekend. Aanvallers kunnen de kwetsbaarheid alleen misbruiken indien de appliance is geconfigureerd als een VPN (SSL-VPN of ICA proxy met authenticatie ingeschakeld). Dit laatste is een vrij gangbare configuratie voor dit type devices.
Kwetsbare versies
De kwetsbaarheid bevindt zich in onderstaande versies van Citrix ADC en Citrix Gateway:
Citrix ADC en Citrix Gateway 13.1, ouder dan versie 13.1-33.47
Citrix ADC en Citrix Gateway 13.0, ouder dan versie 13.0-88.12
Citrix ADC en Citrix Gateway 12.1, ouder dan versie 12.1.65.21
Citrix ADC 12.1-FIPS, ouder dan versie 12.1-55.289
Citrix ADC 12.1-NDcPP, ouder dan versie 12.1-55.289
Versies eerder dan 12.1 zijn reeds End-of-Life (EoL) maar bevatten dezelfde kwetsbaarheid ook. Indien een dergelijke versie van ADC en/of Gateway in gebruik is, is een upgrade naar een ondersteunde versie (12.1 of nieuwer) noodzakelijk.
Alleen gebruikers met een self-managed installatie van deze producten dienen actie te ondernemen. In het geval gebruikgemaakt wordt van een Citrix-managed cloud service, is er geen actie vereist.
Oplossing en workarounds
Organisaties die een kwetsbare Citrix-appliance met VPN-functionaliteit gebruiken, wordt dringend aangeraden zo spoedig mogelijk de door Citrix uitgebrachte updates te installeren. Het betreft onderstaande updates:
Citrix ADC en Citrix Gateway 13.1: update 13.1-33.47
Citrix ADC en Citrix Gateway 13.0: update 13.0-88.12
Citrix ADC en Citrix Gateway 12.1: update 12.1-65.21
Citrix ADC 12.1-FIPS 12.1: update 12.1-55.289
Citrix ADC 12.1-NDcPP 12.1: update 12.1-55.28
Meer informatie
Citrix security bulletin: https://support.citrix.com/article/CTX463706/citrix-gateway-and-citrix-adc-security-bulletin-for-cve202227510-cve202227513-and-cve202227516
Vragen
Voor vragen m.b.t. dit issue kunt u contact opnemen met de Pinewood Servicedesk (015 261 36 33) of via e-mail soc@pinewood.nl.
=====ENGLISH VERSION========
Description
Citrix released updates for Citrix ADC and Citrix Gateway to resolve three vulnerabilities, one of which is rated critical. The critical vulnerability (CVE-2022-27510) allows a remote attacker to bypass authentication and access user capabilities without authentication. Further details on the vulnerability are not yet available. The vulnerability can only be exploited if the appliance is configured for VPN services (SSL-VPN or ICA proxy with authentication). This is a quite common configuration for this type of devices.
Vulnerable versions
The vulnerability exists in the following versions of Citrix ADC and Citrix Gateway:
Citrix ADC and Citrix Gateway 13.1, before version 13.1-33.47
Citrix ADC and Citrix Gateway 13.0, before version 13.0-88.12
Citrix ADC and Citrix Gateway 12.1, before version 12.1.65.21
Citrix ADC 12.1-FIPS, before version 12.1-55.289
Citrix ADC 12.1-NDcPP, before version 12.1-55.289
Versions before 12.1 were already end-of-life (EoL) but are vulnerable as well. If such a version of Citrix ADC and/or Citrix Gateway is in use, an upgrade to a supported version (12.1 or later) is required.
Only organizations with a self-managed installation of these products need to take action. Users of Citrix-managed cloud services do not need to take action.
Solutions and workarounds
Organizations using a vulnerable Citrix appliance with VPN functionalities are advised to install the released updates as soon as possible. Below is an overview of the updates that were released by Citrix:
Citrix ADC and Citrix Gateway 13.1: update 13.1-33.47
Citrix ADC and Citrix Gateway 13.0: update 13.0-88.12
Citrix ADC and Citrix Gateway 12.1: update 12.1-65.21
Citrix ADC 12.1-FIPS 12.1: update 12.1-55.289
Citrix ADC 12.1-NDcPP 12.1: update 12.1-55.289
Additional info
Citrix security bulletin: https://support.citrix.com/article/CTX463706/citrix-gateway-and-citrix-adc-security-bulletin-for-cve202227510-cve202227513-and-cve202227516
Questions
For questions related to these vulnerabilitie(s), please contact the Pinewood Servicedesk (015 261 36 33) or via e-mail soc@pinewood.nl.
