Haavoittuvuuksia Citrix XenServer -virtualisointiohjelmistossa

Citrixin XenServer-ohjelmistosta on paljastunut haavoittuvuuksia jotka voivat mahdollistaa isäntäkoneen saattamisen palvelunestotilaan tai hyökkääjän komentojen suorittamisen isäntäkoneella.

Haavoittuvuudet voivat mahdollistaa samalla isäntäkoneella toimivan vieraskoneen ylläpitäjän toimin aiheutetun isäntäkoneen kaatumisen (CVE-2018-7540 ja CVE-2018-7541), sekä hyökkääjän komentojen suorittamisen isäntäkoneella (CVE-2016-2074).

Haavoittuvuuden kohde

Hyökkääjän komentojen, isäntäkoneella, suorittamisen mahdollistavalle haavoittuvuudelle (CVE-2016-2074) ovat haavoittuvia Citrix XenServer versiot 7.0 ja 7.1 CU1
Palvelunestotilaan johtaville haavoittuvuuksille ovat haavoittuvia kaikki ohjelmistoversiot ennen Citrix XenServer versiota 7.4

Mistä on kysymys?

Korjaava ohjelmistopäivitys
Isäntäkoneella hyökkääjän komentojen suorittamisen mahdollistavalle haavoittuvuudelle (CVE-2016-2074) eivät ole alttiita järjestelmät jotka käyttävät "Linux bridge"-verkkotilaa

Mitä voin tehdä?

https://support.citrix.com/article/CTX232655

Palvelimet ja palvelinsovellukset

Palvelinten ja palvelinohjelmistojen haavoittuvuudet koskevat esimerkiksi sähköisten asiointipalvelujen tarjoajia. Tyypillisiä kohteita ovat palvelinten käyttöjärjestelmät ja www- tai sähköpostipalvelinohjelmistot kuten esimerkiksi SunOS, Linux, Apache, IIS tai Sendmail.

Etäkäyttö

Etäkäyttöisesti tehtävän hyökkäyksen voi tehdä tietoverkkoyhteyden tai vastaavan kautta ilman että pääsee itse kohteena olevan järjestelmän luokse.

Ilman käyttäjän toimia

Ilman käyttäjän toimia tapahtuva hyökkäys kohdistuu suoraan haavoittuvuuteen ilman että järjestelmän käyttäjältä vaaditaan mitään toimia hyökkäyksen onnistumiseksi. Käyttäjän ei esimerkiksi tarvitse selailla www-sivuja tai käynnistää ohjelmaa tietokoneessa, vaan hyökkäys onnistuu ilman käyttäjän apua.

Paikallisesti

Paikallisesti tapahtuvan hyökkäyksen voi tehdä vain pääsemällä hyökkäyksen kohteena olevan laitteen luokse ja käyttämällä sitä paikallisesti. Paikallista hyökkäystä ei voi tehdä verkkoyhteyden kautta.

Ilman kirjautumista

Hyökkäys ei vaadi kohteena olevaan järjestelmään kirjautumista. Vastakohtana ovat sellaiset hyökkäykset, jotka vaativat käyttäjätunnuksen ja salasanan käyttöä ja esimerkiksi komentojen suorittamista järjestelmään kirjautuneena.

Palvelunestohyökkäys

Palvelunestohyökkäyksen tarkoituksena on estää kohdejärjestelmää toimimasta siinä tehtävässä mihin se on tarkoitettu. Hyökkäyksen tarkoituksena voi olla esimerkiksi www- tai sähköpostipalvelimen kuormittaminen runsaalla verkkoliikenteellä.

Komentojen mielivaltainen suorittaminen

Komentojen mielivaltaisen suorittamisen mahdollistavaa haavoittuvuutta on pidettävä vakavana, sillä se tarkoittaa sitä, että hyväksikäyttäjä voi käyttää kohteena olevaa järjestelmää aivan kuin sen tavallinen käyttäjäkin. Se voi johtaa myös siihen, että järjestelmään murtautunut hyökkääjä voi ladata verkon kautta järjestelmään omia ohjelmiaan suoritettavaksi.

Korjaava ohjelmistopäivitys

Ohjelmisto- tai laitevalmistaja julkaisee tavallisesti pian uuden version tai osittaisen päivityksen ohjelmistoon tai käyttöjärjestelmään sen jälkeen kun haavoittuvuus on tullut julki. Päivitys voi olla saatavilla samalla kun haavoittuvuuskin julkaistaan, mutta usein sitä joudutaan odottelemaan jonkin aikaa.