Se ha reportado un nuevo aviso de seguridad sobre tres vulnerabilidades que afectan a NetScaler ADC y NetScaler Gateway de Citrix, que permitirían a un atacante realizar ejecución remota de código (RCE), Reflected Cross-Site Scripting (XSS) y escalamiento de privilegios en el sistema afectado.
Las vulnerabilidades reportadas se componen de 1 (una) de severidad “Crítica” y 2 (dos) de severidad “Alta”. Las mismas se detallan a continuación:
- CVE-2023-3519, de severidad “Crítica” y con puntuación asignada de 9.8. Esta vulnerabilidad se debe a una falla de seguridad en NetScaler ADC y NetScaler Gateway de Citrix. Esto permitiría a un atacante no autenticado realizar ejecución remota de código, solo si el dispositivo está configurado como puerta de enlace (SSL VPN, proxy ICA, CVPN, proxy RDP) o servidor virtual AAA.
- CVE-2023-3466, de severidad “Alta” y con puntuación asignada de 8.3. Esta vulnerabilidad se debe a una falla de validación de entradas del usuario en NetScaler ADC y NetScaler Gateway de Citrix. Esto permitiría a un atacante a través de un enlace malicioso especialmente diseñado bajo su control, realizar ataques del tipo Reflected Cross-Site Scripting (XSS) al momento en que la víctima acceda al enlace con su navegador mientras se encuentra en una red con conectividad NSIP.
- CVE-2023-3467, de severidad “Alta” y con puntuación asignada de 8.0. Esta vulnerabilidad se debe a una falla de seguridad en NetScaler ADC y NetScaler Gateway de Citrix. Esto permitiría a un atacante autenticado con acceso a NSIP o SNIP y con acceso a la interfaz de administración, obtener escalamiento de privilegios de administrador root (nsroot) en el sistema afectado.
Los productos afectados son:
- NetScaler ADC y NetScaler Gateway, versión 13.1.x previas a 13.1-49.13.
- NetScaler ADC y NetScaler Gateway, versión 13.0.x previas a 13.0-91.13.
- NetScaler ADC, versión 13.1-FIPS y previas a 13.1-37.159
- NetScaler ADC, versión 12.1-FIPS y previas a 12.1-55.297
- NetScaler ADC, versión 12.1-NDcPP y previas a 12.1-55.297
- NetScaler ADC y NetScaler Gateway, versiones 12.1 que se encuentran en final del ciclo de vida (EOL).
Recomendamos instalar las actualizaciones correspondientes provistas por el fabricante, mediante el siguiente enlace:
Referencias:
- https://portal.cci-entel.cl/Threat_Intelligence/Boletines/1655/
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3519
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3466
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3467
- https://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467
- https://www.citrix.com/downloads/