Das BSI – Bundesamt für Sicherheit in der Informationstechnik – meldet eine aktive Ausnutzung einer Schwachstelle in Citrix Application Delivery Controller (ADC). Die mit der CVE-2023-3519 geführte Schwachstelle hat einen CVSS-Wert von 9.8 von 10 und ist kritisch! Ein Update steht bereit.
Am 18.07.2023 wurde durch den Hersteller Citrix eine kritische Schwachstelle in den Produkten NetScaler ADC (ehemals Citrix ADC) und NetScaler Gateway (ehemals Citrix Gateway) bekannt gegeben. Die Schwachstelle wird gemäß Common Vulnerabilities and Exposures (CVE) unter der Nummer CVE-2023-3519 geführt und nach CVSS mit einem Score von 9.8 („kritisch“) bewertet. Demnach kann ein nicht-authentifizierter, entfernter Angreifer in die Lage versetzt werden, Code auf dem betroffenen System auszuführen. Ursache ist die Einschleusung von nicht vertrauenswürdigen Daten in eine Programmiersprache bzw. Laufzeitumgebung „Code Injection“.
Citrix: Schwachstelle wird bereits attackiert
In dem veröffentlichten Advisory von Citrix berichtet das Unternehmen von bereits beobachteten Angriffsversuche auf diese Schwachstelle. Daher empfiehlt das BSI allen betroffenen Kunden von NetScaler ADC und NetScaler Gateway, die relevanten Updates so schnell wie möglich zu installieren.
Verwundbar sind die folgenden Versionen von NetScaler ADC und NetScaler Gateway
- NetScaler ADC und NetScaler Gateway 13.1 vor 13.1-49.13
- NetScaler ADC und NetScaler Gateway 13.0 vor 13.0-91.13
- NetScaler ADC 13.1-FIPS vor 13.1-37.159
- NetScaler ADC 12.1-FIPS vor 12.1-55.297
- NetScaler ADC 12.1-NDcPP vor 12.1-55.297
Es ist zu beachten, dass NetScaler ADC und NetScaler Gateway Version 12.1 bereits das End-of-Life (EOL) erreicht haben und somit trotz ihrer Verwundbarkeit keine Patches erhalten! Neben der Schwachstelle CVE-2023-3519 wurden außerdem eine Reflected Cross-Site-Scripting (CVE-2023-3466) sowie eine Privilege Escalation (CVE-2023-3467) Schwachstelle geschlossen.
Das BSI rät vom Einsatz von NetScaler ADC und NetScaler Gateway in Version 12.1 dringend ab, weil diese nicht mehr vom Hersteller unterstützt werden und somit verwundbar bleiben – ausgenommen die zuvor genannten Versionen FIPS bzw. NDcPP.
Mehr bei BSI.Bund.de
Über das Bundesamt für Sicherheit in der Informationstechnik (BSI) Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die Cyber-Sicherheitsbehörde des Bundes und Gestalter einer sicheren Digitalisierung in Deutschland. Das Leitbild: Das BSI als die Cyber-Sicherheitsbehörde des Bundes gestaltet Informationssicherheit in der Digitalisierung durch Prävention, Detektion und Reaktion für Staat, Wirtschaft und Gesellschaft.