CVE-2023-3519 : une nouvelle faille zero-day corrigée dans Citrix ADC et Citrix Gateway
Les utilisateurs de Citrix sont prévenus : une mise à jour de sécurité importante est à installer dès maintenant pour combler une faille de sécurité dans Citrix ADC et Citrix Gateway ! Faisons le point sur cette alerte.
Les produits NetScaler ADC et NetScaler Gateway, que l'on appelait auparavant Citrix ADC et Citrix Gateway, sont concernés par trois failles de sécurité ! La plus critique est associée à la référence CVE-2023-3519 et elle permet à un attaquant non authentifié d'exécuter du code à distance sur l'appliance. Son score CVSS : 9.8 sur 10 ! Par ailleurs, la vulnérabilité CVE-2023-3466 est de type XSS et la CVE-2023-3467 permet une élévation de privilèges, mais elles sont moins critiques que la vulnérabilité CVE-2023-3519.
De son côté, Citrix affirme que les administrateurs doivent effectuer la mise à jour en urgence, car il existe des exploits publics pour cette faille de sécurité. Dans son bulletin de sécurité, l'éditeur explique avoir repéré des attaques : "Des exploitations de la CVE-2023-3519 sur des appareils non mitigés ont été observées."
Pour que cette faille de sécurité soit exploitable, l'appliance doit être configurée comme une passerelle (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) ou un serveur virtuel AAA.
Cette découverte fait écho à un message mis en ligne sur un forum de hacking au début du mois de juillet. En effet, il était question d'une faille de sécurité zero-day permettant une exécution de code à distance dans Citrix ADC. Comme celle qui vient d'être corrigée, en fait. Même si l'on ne peut pas affirmer avec certitude que Citrix que la vulnérabilité CVE-2023-3466 corresponde à cette fameuse zero-day, ceci semble cohérent compte tenu du timing des événements.
Quelles sont les versions vulnérables ? Comment se protéger ?
Voici la liste des versions vulnérables fournies par Citrix :
- NetScaler ADC et NetScaler Gateway 13.1 avant la version 13.1-49.13
- NetScaler ADC et NetScaler Gateway 13.0 avant la version 13.0-91.13
- NetScaler ADC 13.1-FIPS avant la version 13.1-37.159
- NetScaler ADC 12.1-FIPS avant la version 12.1-55.297
- NetScaler ADC 12.1-NDcPP avant la version 12.1-55.297
L'entreprise précise que la version 12.1 est vulnérable, mais qu'elle ne bénéficie pas d'un correctif, car elle est en fin de vie. Les utilisateurs sont invités à passer sur une version supportée.
Pour vous protéger, vous devez mettre à jour votre appliance. Les versions qui intègrent les correctifs de sécurité sont mises en gras dans la liste ci-dessus.
