Softwarebedrijf Citrix waarschuwt organisaties dat de workaround voor een ernstige kwetsbaarheid in de Application Delivery Controller (ADC) niet bij alle versies van de software werkt. Daarnaast zullen niet alle systemen volgende week een beveiligingsupdate ontvangen.

Een kwetsbaarheid in de Citrix Application Delivery Controller (ADC) en Citrix Gateway, die respectievelijk bekend stonden als de NetScaler ADC en NetScaler Gateway, maakt het mogelijk voor aanvallers om het systeem volledig over te nemen en mogelijk het achterliggende netwerk aan te vallen. Aanvallers zoeken inmiddels actief naar kwetsbare Citrix-servers.

Citrix maakte de kwetsbaarheid op 17 december bekend en publiceerde een workaround die organisaties tegen aanvallen moest beschermen. Vandaag meldt het softwarebedrijf dat deze workaround door een bug niet bij alle versies van de software werkt. In Citrix ADC release 12.1 builds voor 51.16/51.19 en 50.31 is een bug aanwezig waardoor de ingestelde mitigatiemaatregel niet wordt toegepast. Citrix adviseert klanten om naar een versie van de software te updaten waar de workaround wel werkt.

Tevens meldt het softwarebedrijf wanneer het verwacht dat er beveiligingsupdates zullen uitkomen. Voor Citrix ADC en Citrix Gateway versie 11.1 en 12.0 zouden de updates op 20 januari moeten verschijnen. Voor versies 12.1 en 13.0 staat de update voor 27 januari gepland. Organisaties die met Citrix ADC en Citrix Gateway versie 10.5 werken kunnen op 31 januari een update tegemoet zien. In het geval van Citrix SD-WAN WANOP versies 10.2.6 en 11.0.3 is nog onbekend wanneer de update verschijnt.

Z-Cert, het Computer Emergency Response Team voor de zorg in Nederland, liet eerder weten dat organisaties die tot afgelopen zaterdag nog geen maatregelen hadden genomen ervan moeten uitgaan dat ze gecompromitteerd zijn. Ook het Nationaal Cyber Security Centrum (NCSC) waarschuwt organisaties hiervoor. “Mocht u op dit moment nog geen mitigerende maatregelen hebben getroffen, dan moet u er rekening mee houden dat uw systeem gecompromitteerd is.”

Source