Kwetsbaarheid gevonden in Citrix ADC, Citrix Gateway en Citrix SD-WAN WANOP

=== Patches === Patchen is alleen effectief als uw netwerk niet gecompromitteerd is. Citrix heeft reeds een aantal patches uitgebracht om de kwetsbaarheid te verhelpen. De komende tijd zullen meerdere patches volgen.

NetScaler ADC versies 13.0, 12.1, 12.0, 11.1 en 10.5 [Link]

NetScaler Unified Gateway versies 13.0, 12.1, 12.0, 11.1 en 10.5 [Link]

NetScaler SD-WAN WANOP [Link]

NetScaler Release (Maintenance Phase) 11.1 Build 63.15 [Link]

NetScaler VPX Release 11.1 [Link]

NetScaler VPX Release 12.0 [Link]

NetScaler Release (Maintenance Phase) 12.0 Build 63.13 [Link]

SDX Bundle (Maintenance Phase) 12.0-63.13 [Link]

=== Mitigerende maatregelen ===

Citrix heeft maatregelen bekendgemaakt die de kwetsbaarheid mitigeren. Indien deze maatregelen niet tijdig doorgevoerd zijn, moet u er redelijkerwijs van uitgaan dat uw systeem is gecompromitteerd.

Citrix heeft verder aangegeven dat versie 12.1 build 50.28 (release datum 28 november 2018) een probleem heeft dat van invloed is op deze door Citrix gepubliceerde maatregelen. Als u die versie in gebruik heeft dient u te controleren of u de mitigerende maatregelen volledig en op de juiste manier heeft doorgevoerd, *inclusief* de maatregelen voor bescherming van de management interface. Indien met name dat laatste niet het geval is moet u er ook van uitgaan dat uw systeem is gecompromitteerd. Voor overige versies inclusief de "refreshed 12.1 build 50.28/50.31" versie (release datum 23 januari 2019) geldt dit probleem niet.

De mitigerende maatregelen zijn te vinden op [Link]

Op de volgende pagina geeft Citrix de tijdlijn met betrekking tot het beschikbaar komen van updates [Link]

Wij adviseren u deze nauwlettend in de gaten te houden en de update te installeren zodra deze beschikbaar is.

=== Verificatie kwetsbaarheid ===

Citrix heeft de tool Check-CVE-2019-19781 beschikbaar gesteld waarmee kan worden vastgesteld of uw systeem kwetsbaar is voor de kwetsbaarheid met kenmerk CVE-2019-19871. Ook kunt u met deze tool controleren of de mitigerende maatregelen zijn geïmplementeerd. Is uw systeem mogelijk al gecompromitteerd houdt u er dan rekening mee dat de output van een dergelijke tool gemanipuleerd kan worden door kwaadwillenden. U kunt de tool Check-CVE-2019-19781 downloaden op [Link]

Ook het Cybersecurity and Infrastructure Security Agency (CISA), voorheen US-CERT, heeft ook een tool beschikbaar gesteld waarmee kan worden gecontroleerd of uw systeem kwetsbaar is voor de kwetsbaarheid met kenmerk CVE-2019-19871. Zie voor meer informatie [Link]

=== Monitoring en detectie ===

Er zijn verschillende manieren om (pogingen tot) exploiteren van Citrix-installaties te detecteren. Dit is mogelijk op netwerkniveau, op SIEM-niveau of op de Citrix-installatie zelf.

SNORT-regel om in ieder geval een van de aanvalscenario's te detecteren [Link]

Blogpost FireEye inclusief twee SNORT-regels om misbruik van de kwetsbaarheid te kunnen detecteren [Link]

SIGMA-regel om misbruik van de kwetsbaarheid te kunnen detecteren [Link]

Houdt hierbij rekening of u TLS-offloading toepast waardoor de SNORT -regels niet functioneel zijn.

=== Logbestanden controleren ===

Bij (mogelijke) compromittatie dient u de integriteit te controleren. In het volgende artikel staan verschillende manieren beschreven die u daarbij kunnen helpen. [Link]

=== Herstelmaatregelen ===

Wanneer u niet met zekerheid kunt zeggen of kwaadwillenden uw systeem hebben gecompromitteerd, bijvoorbeeld omdat u niet tijdig de mitigerende maatregelen heeft geïmplementeerd, dient u ervan uit te gaan dat uw systeem is gecompromitteerd. In dat geval adviseren wij een herstelplan te gebruiken met in ieder geval aandacht voor de volgende punten:

• De gecompromitteerde systemen af te koppelen van het internet.
• De gecompromitteerde systemen aan te bieden voor forensisch onderzoek.
• De Citrix systemen te herinstalleren en te voorzien van updates en/of mitigerende maatregelen.