Összefoglaló
Távoli támadók számára lehetőség nyílik XSS támadásra,
személyes adatok megszerzésére és a rendszer kompromittálására.
Leírás
A Citrix Access Gateway-jel kapcsolatban sérülékenységet és biztonsági problémát jelentettek, amelyet támadók kihasználhatnak arra, hogy személyes adatokat szerezzenek meg, XSS-t hajtsanak végre illetve megszerezzék a felhasználók rendszere feletti ellenőrzést.
- A kliens gépen hagyott információk biztonsági problémát jelentenek. Fölhasználva azokat hozzá lehet férni a felhasználó aktív munkafolyamatához.
- A kliens komponensek (Net6Helper.DLL és npCtxCAO.dll ActiveX control és Firefox bővítmény) számos gyengeséggel küzdenek, ami felhasználható arra, hogy kártékony kódot futtassanak le egy már bejelentkezett felhasználó környezetében.
- Az Access Gateway web-alapú adminisztrációs konzolja megengedi az adminisztrátornak, hogy bizonyos műveleteket végezzen http kéréseken keresztül
a kérés érvényességi ellenőrzése nélkül. Ezen a résen keresztül megváltoztathatóak a konfigurációs beállítások, amennyiben egy támadónak sikerül rávennie a rendszeradminisztrátort, hogy látogasson meg egy rosszindulatú weboldalt. Ugyancsak észrevették azt, hogy a phishing támadásokat lehetővé tevő átirányításos gyengeség itt is fennáll.
Ezt az Access Gateway Advanced Edition 4.5-tel és korábbi verziókkal kapcsolatban jelentették.
E sérülékenységeket az Access Gateway Standard Edition 4.5.2-es és korábbi, valamint az Advanced Edition 4.5-ös és korábbi verzióiban jelentették. Mindkét esetben egyaránt érintettek a 4.5.2-es és korábbi firmware verziók.
E sérülékenységet a 4.5.2 verziószámú és korábbi firmware-rel ellátott Access Gateway model 2000-rel kapcsolatban jelentették.
Az Access Gateway Enterprise Edition ugyanakkor itt nem érintett.
Jelentettek egy átirányítási problémát is, ami megkönnyítheti az adathalászatot.
Megoldás
Telepítse a javítócsomagokatTámadás típusa
Authentication Issues (Hitelesítés)Deny of service (Szolgáltatás megtagadás)
Hijacking (Visszaélés)
Information disclosure (Információ/adat szivárgás)
Input manipulation (Bemenet módosítás)
Hatás
Loss of availability (Elérhetőség elvesztése)Loss of confidentiality (Bizalmasság elvesztése)
Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Local/Shell (Helyi/shell)Physical/Console (Fizikai/konzol)
Remote/Network (Távoli/hálózat)
Hivatkozások
SECUNIA 26143
Gyártói referencia: support.citrix.com
Gyártói referencia: support.citrix.com