CVE-2022-27518: Unauthenticated RCE in Citrix ADC and Gateway

14 december 2022

Bron: Access42, Tenable, Citrix

Citrix heeft een kritieke kwetsbaarheid voor remote code execution in zijn ADC- en Gateway-producten gepatcht. Deze kwetsbaarheid is naar verluidt misbruikt als een zero day; organisaties moeten dringend een patch uitvoeren.

Achtergrond

Op 13 december heeft Citrix een security advisory en bijbehorende blog uitgebracht over CVE-2022-27518, een kritiek kwetsbaar punt voor remote code execution (RCE) dat gevolgen heeft voor verschillende ondersteunde versies van Citrix Application Delivery Controller (ADC) en Citrix Gateway. Zowel de advisory als de blog post melden dat gerichte aanvallen in het wild zijn waargenomen en dat klanten deze kwetsbaarheid onmiddellijk moeten patchen.

In aanvulling op de blogpost is een waarschuwing van de National Security Agency (NSA) vrijgegeven, die Citrix-gebruikers een gids voor het opsporen van bedreigingen biedt. In de waarschuwing wordt opgemerkt dat APT5, ook bekend als UNC2630 en MANGANESE, zich richten op Citrix ADC’s. De threat hunting guidance kan worden gebruikt om vast te stellen of een ADC is gecompromitteerd. De leidraad wijst er zorgvuldig op dat de besproken artefacten kunnen variëren op basis van het stadium van compromittering.

Analyse

CVE-2022-27518 is een RCE kwetsbaarheid die invloed heeft op Citrix ADC of Citrix Gateway wanneer deze geconfigureerd zijn als een Security Assertion Markup Language (SAML) service provider (SP) of een SAML identity provider (IdP). De kwetsbaarheid is aangemerkt als kritiek en kan door een niet-geautoriseerde aanvaller op afstand worden misbruikt om willekeurige code uit te voeren. CVE-2022-27518 heeft ten tijde van de eerste uitgave nog geen CVSSv3-score gekregen.

Vorige maand nog heeft Citrix een ander kritiek lek in Citrix ADC en Gateway producten gepatcht. Kwetsbaarheden in VPN’s zijn echter niet nieuw en zijn een veel voorkomende manier voor bedreigers om voet aan de grond te krijgen in doelnetwerken. Aanvallers maken routinematig gebruik van kwetsbaarheden in Citrix ADC- en Gateway-producten, omdat deze technologieën regelmatig ongepatcht blijven. Omdat deze kwetsbaarheid wordt uitgebuit, moeten organisaties onmiddellijk een patch uitvoeren.

Proof of Concept

Op het moment dat deze blog werd geschreven, was er nog geen proof-of-concept code vrijgegeven voor CVE-2022-27518.

Vendor Response

Citrix heeft een patch uitgebracht voor aangetaste versies van Citrix ADC en Citrix Gateway. In de volgende tabel staan de getroffen versies en de gerepareerde versies:

Affected Version	Fixed Version
Citrix ADC and Citrix Gateway versions prior to 12.1	End of life. Upgrade to a supported version
Citrix ADC and Citrix Gateway 12.1 before 12.1-65.25	Citrix ADC and Citrix Gateway 12.1-65.25 and later
Citrix ADC and Citrix Gateway 13.0 before 13.0-58.32	Citrix ADC and Citrix Gateway 13.0-58.32 and later
Citrix ADC 12.1-FIPS before 12.1-55.291	Citrix ADC 12.1-FIPS 12.1-55.291 and later
Citrix ADC 12.1-NDcPP before 12.1-55.291	Citrix ADC 12.1-NDcPP 12.1-55.291 and later
Citrix ADC and Citrix Gateway version 13.1	Not affected

Oplossing

Een lijst van Tenable-plugins die deze kwetsbaarheid identificeren zal hier verschijnen zodra ze zijn vrijgegeven. Deze link maakt gebruik van een zoekfilter om ervoor te zorgen dat alle passende plugins verschijnen zodra ze zijn vrijgegeven. Organisaties kunnen ook plugin ID 73204 gebruiken om Citrix ADC (voorheen NetScaler) apparaten te identificeren. Een Tenable audit voor Citrix ADC best practices is ook beschikbaar.