风险提示｜Citrix NetScaler ADC/NetScaler Gateway会话令牌泄漏

lCitrix NetScaler ADC 是一款高性能应用程序交付和负载平衡解决方案产品，可优化应用程序可用性、速度和安全性。 NetScaler Gateway 是一款提供远程访问的产品，确保用户可以从任何地方安全地访问公司资源。 \r

近日，长亭科技监测到，Citrix官方发布新补丁，修复敏感信息（会话令牌）泄露漏洞。 \r

长汀应急小组经过分析，发现敏感信息可能通过缓冲区溢出漏洞泄露。考虑到Citrix NetScaler 设备在网络中的核心作用，建议及时修复漏洞。为了方便用户排查受影响资产，根据漏洞原理编写了XPoC远程检测工具和牧云本地检测工具。这些工具向公众开放下载和使用。 \r

\r

## 漏洞描述\r

该漏洞源于Citrix NetScaler ADC 和NetScaler Gateway 处理OpenID Connect Discovery 端点时的缓冲区管理问题。攻击者可以通过发送HTTP Host 标头中包含大量字符的请求来触发缓冲区溢出，从而导致会话令牌等敏感信息泄露。攻击者可以利用泄露的用户令牌突破边界进入内网。 \r

\r

## 检测工具\r

### 检测工具\r

#### X-POC远程检测工具\r

检测方法\r

`xpoc -r 412 -t http://xpoc.org`\r

\r

\r

\r

\r

#### 如何获取工具\r

- https://github.com/chaitin/xpoc\r

- https://stack.chaitin.com/tool/detail/1036\r

\r

## 影响范围\r

\r

以下受支持的NetScaler ADC 和NetScaler Gateway 版本受此漏洞影响:\r

- NetScaler ADC 和NetScaler Gateway 14.1 14.1-8.50 之前的版本\r

- NetScaler ADC 和NetScaler Gateway 13.1 13.1-49.15 之前的版本\r

- NetScaler ADC 和NetScaler Gateway 13.0 13.0-92.19 之前的版本\r

- NetScaler ADC 13.1-FIPS 13.1-37.164 之前的版本\r

- NetScaler ADC 12.1-FIPS 早于12.1-55.300\r

- NetScaler ADC 12.1-NDcPP 12.1-55.300 之前的版本\r

\r

注意：NetScaler ADC 和NetScaler Gateway 版本12.1 现已停产(EOL)，并且容易受到攻击。 \r

此通报仅适用于客户管理的NetScaler ADC 和NetScaler Gateway 产品。使用Citrix Managed Cloud Services 或Citrix Managed Adaptive Certification 的客户无需采取任何操作。 \r

\r

## 解决方案\r

### 升级修复计划\r

官方已推出新版本修复该漏洞。建议所有受影响的用户尽快访问官网（https://support.citrix.com/）并更新至新版本。 \r

\r

## 产品支持\r

\r

- 云图：默认支持本产品的指纹识别，同时也支持该漏洞的PoC原理检测。 \r

- 东健：支持会在近期完成。 \r

- 雷驰：已发布虚拟补丁支持对该漏洞的利用检测。 \r

- 完整信息：预计10月26日前发布规则升级包，支持对该漏洞利用的检测。 \r

\r

## 时间轴\r

- 10月24日互联网公开漏洞信息\r

- 10月25日长汀应急实验室漏洞分析与复现\r

——10月25日，长汀县安全应急中心发布公告\r

\r

## 参考文献\r

[1].https://support.citrix.com/