Update 16-7-2020
Onderzoekers hebben een Proof-of-Conceptcode gepubliceerd waarmee de kwetsbaarheid met kenmerk CVE-2020-8193 is te misbruiken. Securitybedrijven nemen beperkt actief misbruik waar van de kwetsbaarheden met kenmerk CVE-2020-8193, CVE-2020-1895 en CVE-2020-8196.
Hoewel deze drie kwetsbaarheden aanwezig zijn in de management interface en onder normale omstandigheden niet publiek toegankelijk en te misbruiken zijn, zijn zij voor het NCSC reden om de inschaling van dit beveiligingsadvies te verhogen naar HIGH/HIGH.
Update 13-07-2020
Op 7 juli jl. heeft het NCSC weer een aantal nieuwe kwetsbaarheden kenbaar gemaakt in Citrix Application Delivery Controller, Gateway en SD-WAN WANOP appliance. Om toegang tot het systeem te krijgen, moet de kwaadwillende in staat zijn de managementomgeving te benaderen. Een dergelijke omgeving is onder normale omstandigheden niet publiek toegankelijk. Daarom is de kwetsbaarheid lager ingeschaald. Meer informatie is te vinden in de betreffende advisory van het NCSC.
Update 25-01-2020
Citrix heeft de laatste patches (inclusief versie 10.5) beschikbaar gesteld voor de softwarepakketten Netscaler ADC en Gateway Server.
Update 24-01-2020
Citrix heeft de laatste patches (behalve versie 10.5) beschikbaar gesteld voor de softwarepakketten Netscaler ADC en Gateway Server. Het NCSC adviseert om deze patches onder de hieronder uiteengezette voorwaarden te installeren. Lees hier meer.
Update 21-01-2020
Het NCSC heeft een lijst met veel gestelde vragen over Citrix samengesteld. Het NCSC update deze lijst als er nieuwe informatie beschikbaar is.
Update 20-01-2020
Citrix heeft patches beschikbaar gesteld voor twee van zeven kwetsbare softwarepakketten.
Het gaat om versie 11.1 en 12.0 . Via deze link vind je een tijdlijn wanneer updates worden verwacht voor de overige versies.
Het NCSC geeft nadere informatie en advies over de installatie van patches voor Citrix ADC en Citrix Gateway servers. Ook is er inmiddels een stroomschema beschikbaar om een risicoafweging te maken over de Citrix kwetsbaarheid. Deze vind je hier.
Update 19-01-2020
Het eerder door NCSC gegeven advies van 17 januari 2020 over kwetsbaarheden in Citrix ADC en Citrix Gateway servers is nog altijd van kracht. Op korte termijn komen er vanuit Citrix patches beschikbaar voor verschillende versies. Het NCSC adviseert om deze patches te installeren. In dit bericht adviseert het NCSC onder welke voorwaarden uw organisatie dit kan doen en in hoeverre dit afdoende is. Het NCSC benadrukt dat het nemen van mitigerende maatregelen in alle gevallen gebaseerd dienen te zijn op een risicoafweging van de organisatie zelf.
Update 18-01-2020
Het NCSC heeft vrijdagavond een nieuwe update naar buiten gebracht waarin aangeraden wordt om Citrix systemen uit te schakelen of aanvullende mitigerende maatregelen te treffen.
Het NCSC gaat onder andere in op aanvullende mitigerende maatregelen die kunnen worden ingezet wanneer het uitschakelen van de Citrix systemen geen mogelijkheid is.
Klik hier om naar het artikel van het NCSC te gaan.
Update 16-01-2020:
Er is gebleken dat de mitigerende maatregelen niet altijd effectief zijn. We attenderen je hierbij op dit nieuwsbericht van het NCSC.
Oorspronkelijk bericht 13-01-2020:
Omdat vele Nederlandse Citrix-servers kwetsbaar zijn voor aanvallen wijzen we, in navolging van het NCSC, nogmaals op de urgentie om mitigerende maatregelen te nemen. Lees hieronder om welke producten het gaat en wat je kunt doen.
Welke producten worden geraakt:
Vanaf 16 december 2019 bericht Citrix over kwetsbaarheden in de genoemde Citrix producten:
• Citrix ADC and Citrix Gateway version 13.0 all supported builds
• Citrix ADC and NetScaler Gateway version 12.1 all supported builds
• Citrix ADC and NetScaler Gateway version 12.0 all supported builds
• Citrix ADC and NetScaler Gateway version 11.1 all supported builds
• Citrix NetScaler ADC and NetScaler Gateway version 10.5 all supported builds.
Voor meer informatie zie dit bericht van Citrix.
Advies
Citrix adviseert sinds 17 december de volgende mitigerende maatregelen. Mocht je gebruik maken van een van de bovenstaande producten dan is het advies van het DTC om deze mitigerende maatregelen tot je te nemen en deze uit te (laten) voeren.
Mocht je twijfelen of je gebruikt maakt van één van de bovengenoemde producten of dat je geraakt bent door deze kwetsbaarheid, neem dan contact op met je ICT afdeling of leverancier.
Patches nog niet beschikbaar
Citrix heeft aangegeven te werken aan patches voor de genoemde kwetsbaarheid, de eerste daarvan komt volgende week beschikbaar. Gezien het feit dat er inmiddels actief wordt gescand naar deze aanwezige kwetsbaarheden is het advies van het DTC om niet te wachten op de aangekondigde updates maar de mitigerende maatregelen toe te (laten) passen.
Bron: NCSC.