Citrix emitió ayer nuevos parches de seguridad asociados a 11 fallos de seguridad que afectan a sus productos de red Citrix Application Delivery Controller (ADC), Gateway y SD-WAN WAN Optimization edition (WANOP).
Según la compañía, estas vulnerabilidades no están relacionadas con la vulnerabilidad de RCE CVE-2019-19781 que parcheó en enero de 2020 y no afectan a las versiones en la nube de los dispositivos Citrix.
La explotación exitosa de estos nuevos defectos críticos podría permitir a atacantes no autenticados llevar a cabo con éxito ataques de inyección de código, divulgación de información e incluso denegación de servicio contra la puerta de enlace o los servidores virtuales de autenticación.
«De las 11 vulnerabilidades encontradas, cinco de ellas tienen barreras que impiden la explotación. Además, los usuarios que no tienen tráfico no confiable en la red de administración únicamente pueden estar expuestos a un ataque de denegación de servicio».
Fermín Serna, CISO de Citrix
Entre los dispositivos Citrix SD-WAN WANOP afectados por las fallos, se incluyen los modelos 4000-WO, 4100-WO, 5000-WO y 5100-WO.
En el sitio web de Citrix se encuentra disponible un aviso de seguridad con información detallada sobre estas vulnerabilidades y enlaces a todas las actualizaciones de firmware.
| ID de CVE | Tipo de Vulnerabilidad | Productos afectados |
| CVE-2019-18177 | Divulgación de información | Citrix ADC, Citrix Gateway |
| CVE-2020-8187 | Denegación de servicio | Citrix ADC, Citrix Gateway 12.0 y 11.1 |
| CVE-2020-8190 | Elevación local de privilegios | Citrix ADC, Citrix Gateway |
| CVE-2020-8191 | XSS Reflejado | Citrix ADC, Citrix Gateway, Citrix SDWAN WANOP |
| CVE-2020-8193 | Bypass de autorización | Citrix ADC, Citrix Gateway, Citrix SDWAN WANOP |
| CVE-2020-8194 | Inyección de código | Citrix ADC, Citrix Gateway, Citrix SDWAN WANOP |
| CVE-2020-8195 | Divulgación de información | Citrix ADC, Citrix Gateway, Citrix SDWAN WANOP |
| CVE-2020-8196 | Divulgación de información | Citrix ADC, Citrix Gateway, Citrix SDWAN WANOP |
| CVE-2020-8197 | Elevación de privilegios | Citrix ADC, Citrix Gateway |
| CVE-2020-8198 | XSS Persistente | Citrix ADC, Citrix Gateway, Citrix SDWAN WANOP |
| CVE-2020-8199 | Elevación local de privilegios | Citrix Gateway Plug-in para Linux |
Se recomienda descargar y aplicar las versiones más recientes para dispositivos Citrix ADC, Citrix Gateway y Citrix SD-WAN WANOP lo antes posible para mitigar el riesgo y defenderse contra posibles ataques diseñados para explotar estos defectos.
Referencias: