Kriittinen haavoittuvuus Citrix Endpoint Managementin paikallisissa asennuksissa

Citrix on julkaissut kriittisen haavoittuvuuden ja päivityksen Citrix Endpoint Managementin eli XenMobilen paikallisiin asennusratkaisuihin. XenMobile:n pilviratkaisut on jo päivitetty haavoittuvuuden osalta.

On todennäköistä, että haavoittuvuuteen julkaistaan hyväksikäyttömenetelmiä nopealla aikataululla. Tämän vuoksi päivitykset tulee asentaa kiireellisesti, tai haavoittuvat laitteet tulee ottaa pois verkosta. Haavoittuvuuksien avulla hyökkääjän on mahdollista saada ylläpitäjän oikeudet kohdejärjestelmistä.

Haavoittuvuuden kohde

Kriittinen haavoittuvuus koskee seuraavia versioita:

XenMobile server 10.12 ennen RP2 -päivitystä
XenMobile server 10.11 ennen RP4 -päivitystä
XenMobile server 10.10 ennen RP6 -päivitystä
XenMobile server kaikki versiot ennen 10.9 RP5 -päivitystä

Alla linkki uusimpiin päivityksiin versioittain:

10.12: https://support.citrix.com/article/CTX277473

10.11: https://support.citrix.com/article/CTX277698

10.10: https://support.citrix.com/article/CTX279101

10.9: https://support.citrix.com/article/CTX279098

10.9 ja 10.10 ovat jo tuen ulkopuolella, mutta haavoittuvuuden luonteen takia Citrix julkaisee niihinkin tämän päivityksen.

Citrix suosittelee päivittämään 10.12 RP3:een, joka on uusin tuettu versio.

Mitä voin tehdä?

Citrixin haavoittuvuustiedote

https://support.citrix.com/article/CTX277457

Palvelimet ja palvelinsovellukset

Palvelinten ja palvelinohjelmistojen haavoittuvuudet koskevat esimerkiksi sähköisten asiointipalvelujen tarjoajia. Tyypillisiä kohteita ovat palvelinten käyttöjärjestelmät ja www- tai sähköpostipalvelinohjelmistot kuten esimerkiksi SunOS, Linux, Apache, IIS tai Sendmail.

Etäkäyttö

Etäkäyttöisesti tehtävän hyökkäyksen voi tehdä tietoverkkoyhteyden tai vastaavan kautta ilman että pääsee itse kohteena olevan järjestelmän luokse.

Suojauksen ohittaminen

Suojauksen ohittamisella tarkoitetaan sitä, että haavoittuvuutta hyväksikäyttämällä ohitetaan järjestelmän käytön rajoittamiseksi tehty suojaus esimerkiksi liikennöimällä palomuurin ohi suojattuun verkkoon.

Käyttövaltuuksien laajentaminen

Käyttövaltuuksien laajentaminen mahdollistaa järjestelmän käyttämisen esimerkiksi pääkäyttäjänä, tavallista käyttäjää laajemmin valtuuksin.

Tietojen muokkaaminen

Järjestelmään talletettujen tietojen muokkaaminen ei välttämättä edellytä komentojen suorittamista, käyttövaltuuksien laajentamista tai järjestelmään kirjautumista. Esimerkiksi käyttämällä hyväksi www-palvelinohjelmiston haavoittuvuutta voi hyökkääjä luvatta muuttaa palvelimella näkyvien verkkosivujen sisältöä.

Luottamuksellisen tiedon hankkiminen

Luottamuksellisten tietojen hankkiminen kohdejärjestelmästä edellyttää sitä, että sen tietosisältöä, esimerkiksi kiintolevylle talletettuja tiedostoja, pääsee lukemaan luvatta ja välittämään edelleen.

Korjaava ohjelmistopäivitys

Ohjelmisto- tai laitevalmistaja julkaisee tavallisesti pian uuden version tai osittaisen päivityksen ohjelmistoon tai käyttöjärjestelmään sen jälkeen kun haavoittuvuus on tullut julki. Päivitys voi olla saatavilla samalla kun haavoittuvuuskin julkaistaan, mutta usein sitä joudutaan odottelemaan jonkin aikaa.