摘要

Citrix近期发布了多个针对ADC（NetScaler ADC）和Gateway（NetScaler Gateway）的漏洞，涉及跨站脚本（XSS）、权限提升和未授权远程代码执行（RCE）。其中最严重的是未授权RCE漏洞（CVE-2023-3519），因其执行要求较低且无需认证或用户交互。漏洞评分分别为：XSS 8.3、权限提升 8、未授权RCE 9.8。目前无临时解决方案，但已观察到CVE-2023-3519被利用，建议尽快修补受影响系统。

受影响应用

技术细节

CVE-2023-3519 – 未授权远程代码执行

此RCE漏洞在成功执行时允许未授权远程代码执行。唯一要求是受影响设备必须配置为网关或AAA虚拟服务器（包括VPN虚拟服务器、ICA代理、CVPN和RDP代理）。漏洞源于代码生成控制失败（即代码注入），当产品未能充分过滤用户控制输入（数据平面）中的控制平面代码时，攻击者可构造特定代码改变控制流，导致任意代码执行。

CVE-2023-3466 – 反射型跨站脚本

此XSS漏洞执行要求更严格：需要用户访问攻击者控制的浏览器链接，且受害者必须能连接到NSIP。漏洞基于输入验证不当，可能导致恶意输入被用于改变控制流、任意控制资源或执行任意代码。

CVE-2023-3467 – 权限提升至root管理员（nsroot）

此权限提升漏洞要求已认证访问NSIP或SNIP（包括管理接口），因此需要初始访问向量。适当的权限管理和监控有助于检测和防止此漏洞利用。

解决方案

Kudelski Security建议尽快识别、验证并实施受影响系统的安全更新。管理员应迅速行动，立即应用补丁。

网络融合中心（CFC）行动

CFC将持续关注此漏洞，并在有新信息时提供更新。

来源

• https://support.citrix.com/article/CTX561482/citrix-adc-and-citrix-gateway-security-bulletin-for-cve20233519-cve20233466-cve20233467
• https://cwe.mitre.org/data/definitions/94.html