Markt + Trends | Rechenzentrum | iX

Sicherheitslücke in den ADC von Citrix

Bereits Mitte Dezember gab Citrix bekannt, dass seine Application-Delivery-Controller (ADC) der Netscaler-Serie für eine Remote-Code-Execution-Lücke anfällig sind. Mit einer Directory-Traversal-Attacke auf deren Management-Webinterface bekommen Angreifer Zugriff auf fehlerhafte Perl-Skripte. Darüber können sie eine Datei erstellen, deren Inhalt sie passagenweise bestimmen und etwa mit Shell-Befehlen ergänzen können. In einem bestimmten Verzeichnis platziert, arbeitet die Perl-Template-Engine sie und damit die injizierten Befehle schließlich ab.

Patches für die als kritisch eingestufte Sicherheitslücke CVE-2019-19781 hat Citrix erst für Ende Januar angekündigt. Zwischen dem 27. und dem 31. Januar 2020 will das Unternehmen sukzessive die Patches für die ADC der Versionen 13 bis 10.5 veröffentlichen. Bis dahin stellt Citrix lediglich eine Anleitung für Konfigurationsänderungen bereit, mit denen Kunden entsprechende Anfragen filtern können, mit der dringenden Empfehlung, den Workaround vorzunehmen.