NetScaler ADC est un contrôleur de mise en réseau conçu pour améliorer les performances, la sécurité et la résilience des applications. Quant à NetScaler Gateway, elle est une passerelle d’accès, offrant une authentification unique et un accès distant aux actifs du réseau pour les utilisateurs.
Cependant, plusieurs vulnérabilités ont été identifiées, dont la plus critique, libellée CVE-2023-3519, est une vulnérabilité d’exécution de code à distance qui permettrait à un acteur malveillant d’exécuter des commandes à distance sur une machine cible. L’exploitation de cette vulnérabilité nécessite que les configurations des produits Citrix NetScaler ADC et Gateway incluent le rôle de passerelle (serveur virtuel VPN, proxy ICA, CVPN, proxy RDP) ou de serveur virtuel AAA.
Cette vulnérabilité est classée critique avec un score de 9.8.
En outre, d’autres vulnérabilités affectent ces produits. Il s’agit des vulnérabilités suivantes :
- CVE-2023-3466 : Cross-Site Scripting (XSS) exploitée via un lien contrôlé par l’attaquant lorsque la victime est sur un réseau avec connectivité au NSIP (NetScaler IP)
- CVE-2023-3467 : Elévation des privilèges vers celui de l’administrateur racine (nsroot) via un accès authentifié à NSIP ou SNIP (Subnet IP) avec un accès à l’interface de gestion
RISQUES DE SÉCURITÉ
- Atteinte à la confidentialité des données
- Atteinte à l’intégrité des données
- Atteinte à la disponibilité des données
SYSTEMES AFFECTÉS
- NetScaler ADC et NetScaler Gateway versions 13.0-x antérieures à0-91.13
- NetScaler ADC et NetScaler Gateway versions 13.1-x antérieures à1-49.13
- NetScaler ADC 12.1-FIPS antérieures à 12.1-55.297
- NetScaler ADC 13.1-FIPS antérieures à 13.1-37.159
- NetScaler ADC 12.1-NDcPP antérieures à 12.1-55.297
MESURES À PRENDRE
Il est fortement recommandé de mettre à jour :
- NetScaler ADC et Gateway 13.0.x à la version 13.0-91.13
- NetScaler ADC et Gateway 13.1.x à la version 13.1-49.13
- NetScaler ADC 12.1-FIPS à la version 1-55.297
- NetScaler ADC 13.1-FIPS à la version 13.1-37.159
- NetScaler ADC 12.1-NDcPP à la version 12.1-55.297
Source : support.citrix.com
