Bulletin d'alerte du CERT-FR
Objet : [MàJ] Vulnérabilité dans Citrix ADC et Gateway
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Citrix ADC versions 13.x antérieures à 13.0-58.32
- Citrix ADC toutes versions antérieures à 12.1-65.25
- Citrix ADC versions 12.1-FIPS antérieures à 12.1-55.291
- Citrix ADC versions 12.1-NDcPP antérieures à 12.1-55.291
- Citrix Gateway versions 13.x antérieures à 13.0-58.32
- Citrix Gateway toutes versions antérieures à 12.1-65.25
Tous les produits Citrix Gateway et Citrix ADC disposant d'une version antérieure à 12.1 sont en fin de vie (EoL) et ne bénéficieront donc pas de correctif pour cette vulnérabilité. L'éditeur recommande au client disposant d'une version antérieure à 12.1 de migrer vers une version encore maintenue.
Résumé
Le 13 décembre 2022, Citrix a indiqué avoir connaissance d'une vulnérabilité de type jour-zéro (zero-day) affectant les produits Citrix ADC et Citrix Gateway. Cette vulnérabilité, immatriculée CVE-2022-27518, permet à un attaquant à distance et non authentifié d'exécuter du code arbitraire sur l'équipement.
L'exploitation de la vulnérabilité est uniquement possible si le produit
Citrix est configuré en mode IdP SAML ou SP SAML. Il est possible de
vérifier la configuration en inspectant le fichier ns.conf. Si les
lignes add authentication samlAction ou
add authentication samlIdPProfile sont présentes et que le produit est
dans une version affectée, alors il doit être considéré comme
vulnérable.
L'éditeur a connaissance d'exploitation de cette vulnérabilité sur des équipements non mis à jour. Le CERT-FR anticipe donc des exploitations en masse de la vulnérabilité CVE-2022-27518.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
DÉTECTION
L'application seule des correctifs n'est pas suffisante. En effet, si un attaquant a exploité la vulnérabilité avant leur application, il a pu déposer une porte dérobée qui lui permettra de se connecter ultérieurement au système.
Il est recommandé d'effectuer une analyse des systèmes notamment à l'aide des indicateurs de compromission [1]. Ces marqueurs préliminaires sont fournis à titre indicatif et ne sont pas exhaustifs.
Documentation
-
Bulletin de sécurité Citrix du 13 décembre 2022
https://support.citrix.com/article/CTX474995/citrix-adc-and-citrix-gateway-security-bulletin-for-cve202227518 -
[1] Indicateurs de compromission concernant la vulnérabilité CVE-2022-27518
https://media.defense.gov/2022/Dec/13/2003131586/-1/-1/0/CSA-APT5-CITRIXADC-V1.PDF -
Avis CERTFR-2022-AVI-1091 du 13 décembre 2022 /avis/CERTFR-2022-AVI-1091
/avis/CERTFR-2022-AVI-1091/ -
Référence CVE CVE-2022-27518
https://www.cve.org/CVERecord?id=CVE-2022-27518
Gestion détaillée du document
| Date | Description |
|---|---|
| 13 décembre 2022 | Version initiale |
| 15 décembre 2022 | Ajout d'éléments de détection |
| 14 mars 2023 | Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante. |