Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2019/07/11

Garrantzia: Kritikoa 

Kaltetutako baliabideak: 

• Todas las versiones de NetScaler SD-WAN 9.x;
• Todas las versiones de NetScaler SD-WAN 10.0.x, anteriores a 10.0.8;
• Todas las versiones de Citrix SD-WAN 10.1.x;
• Todas las versiones de Citrix SD-WAN 10.2.x, anteriores a 10.2.3.

Azalpena: 

Hainbat ahultasun aurkitu dira Citrix SD-WAN Center, NetScaler SD-WAN Center, Citrix SD-WAN Appliance eta NetScaler SD-WAN Appliance-n. Ahultasun horiek denek batera eragin lezakete autentifikatu gabeko erasotzaile batek root modura komandoak exekutatu ahal izatea SD-WAN Center-en kudeaketa kontsolaren aurka, edo bestela erabil litezke root pribilegioak lortzeko SD-WAN Appliance-n.

Konponbidea: 

• Actualizar a la versión 10.0.8 de NetScaler SD-WAN Center y NetScaler SD-WAN Appliance.
• Actualizar a la versión 10.2.3 de Citrix SD-WAN Center y Citrix SD-WAN Appliance.

Xehetasuna: 

Aurkitutako ahultasunak honakoak dira:

• Autentifikatu gabeko komandoen injekzioa Citrix SD-WAN Center-en, 10.2.3 baino lehenagoko 10.2.x bertsioak, eta NetScaler SD-WAN Center-en, 10.0.8 baino lehenagoko 10.0.x bertsioak. Ahultasun horretarako CVE-2019-12985, CVE-2019-12986, CVE-2019-12987 eta CVE-2019-12988 identifikatzaileak erreserbatu dira.
• Direktorio jauzia fitxategiak idaztean Citrix SD-WAN Center-en, 10.2.3 baino lehenagoko 10.2.x bertsioak, eta NetScaler SD-WAN Center-en, 10.0.8 baino lehenagoko 10.0.x bertsioak.Ahultasun horretarako CVE-2019-12990 identifikatzailea erreserbatu da.
• Autentifikatutako komandoen injekzioa Citrix SD-WAN Center-en, 10.2.3 baino lehenagoko 10.2.x bertsioak, eta NetScaler SD-WAN Center-en, 10.0.8 baino lehenagoko 10.0.x bertsioak.Ahultasun horretarako CVE-2019-12992 identifikatzailea erreserbatu da.
• Autentifikatu gabeko SQL injekzioa Citrix SD-WAN Appliance-n, 10.2.3 baino lehenagoko 10.2.x bertsioak, eta NetScaler SD-WAN Appliance-n, 10.0.8 baino lehenagoko 10.0.x bertsioak.Ahultasun horretarako CVE-2019-12989 identifikatzailea erreserbatu da.
• Autentifikatutako komandoen injekzioa Citrix SD-WAN Appliance-n, 10.2.3 baino lehenagoko 10.2.x bertsioak, eta NetScaler SD-WAN Appliance-n, 10.0.8 baino lehenagoko 10.0.x bertsioak.Ahultasun horretarako CVE-2019-12991 identifikatzailea erreserbatu da.

Etiketak: Eguneraketa, Ahultasuna