Suivi KEV › Citrix

CVE-2019-19781 Citrix, ADC, Gateway et SD-WAN WANOP Appliance : vulnérabilité d'exécution de code

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

Produit : Citrix Application Delivery Controller (ADC), Gateway, and SD-WAN WANOP Appliance
Ajoutée au catalogue : 3 novembre 2021
Échéance CISA : 3 mai 2022
Rançongiciels : utilisée dans des campagnes connues
Faiblesse : CWE-22
Gravité : CVSS 9,8 (critique)
Probabilité d’exploitation (EPSS) : > 99,9 %
Technologie : Citrix

Citrix ADC, Citrix Gateway et plusieurs modèles d'appliance Citrix SD-WAN WANOP contiennent une vulnérabilité non spécifiée qui pourrait permettre à un attaquant non authentifié d'exécuter du code.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées

Versions concernées

application delivery controller firmware : 5 versions, de 10.5 à 13.0
netscaler gateway firmware : 4 versions, de 10.5 à 12.1
gateway firmware : version 13.0

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

27 décembre 2019 — Publication de la CVE
3 novembre 2021 — Exploitation confirmée : ajout au catalogue KEV de la CISA
3 mai 2022 — Échéance de correction pour les agences fédérales américaines

Références

Avis de l’éditeur : support.citrix.com
Analyse : badpackets.net
Analyse : forms.gle
Analyse : twitter.com
Analyse : kb.cert.org

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Citrix ADC, Gateway, and SD-WAN WANOP Appliance Code Execution Vulnerability

Citrix ADC, Citrix Gateway, and multiple Citrix SD-WAN WANOP appliance models contain an unspecified vulnerability that could allow an unauthenticated attacker to perform code execution.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Citrix Application Delivery Controller (ADC), Gateway, and SD-WAN WANOP Appliance

← Toutes les failles Citrix · Suivi KEV