Múltiples vulnerabilidades en productos Citrix
- NetScaler ADC y NetScaler Gateway, versiones:
- 13.1 anteriores a 13.1-49.13;
- 13.0 anteriores a 13.0-91.13;
- 12.1 (EoL).
- NetScaler ADC, versiones:
- 13.1-FIPS anteriores a 13.1-37.159;
- 12.1-FIPS anteriores a 12.1-55.297;
- 12.1-NDcPP anteriores a 12.1-55.297.
Estas vulnerabilidades solo afectan a NetScaler ADC y NetScaler Gateway administrados por el cliente. Los clientes que utilicen servicios en la nube administrados por Citrix o Adaptive Authentication administrado por Citrix no se ven afectados.
Los investigadores Wouter Rijkbost y Jorren Geurts, de Resillion, han reportado 3 vulnerabilidades en productos de Citrix, una de severidad crítica y 2 altas, cuya explotación podría permitir a un atacante realizar XSS (Cross-Site Scripting), escalada de privilegios o ejecución remota de código.
Actualizar los productos afectados a las siguientes versiones:
- NetScaler ADC y NetScaler Gateway, versiones:
- 13.1-49.13 y posteriores;
- 13.0-91.13 y posteriores de la rama 13.0.
- NetScaler ADC, versiones:
- 13.1-37.159 y posteriores de la rama 13.1-FIPS;
- 12.1-55.297 y posteriores de la rama 12.1-FIPS;
- 12.1-55.297 y posteriores de la rama 12.1-NDcPP.
La vulnerabilidad de severidad crítica podría permitir la ejecución de código remoto a un usuario no autenticado. Además, el fabricante ha indicado la detección de intentos de explotación contra dispositivos aún no parcheados. Se ha asignado el identificador CVE-2023-3519 para esta vulnerabilidad.
Las vulnerabilidades de severidad alta tienen asignados los identificadores CVE-2023-3466 (XSS) y CVE-2023-3467 (escalada de privilegios).
