Citrix闸道系统重大漏洞已出现攻击程式，修补程式还在路上

Citrix闸道系统软件12月中发现重大漏洞并已陆续有攻击程式出现。Citrix周一释出部分产品的修补程式，但其他系统则预计本周稍晚才会释出。

编号CVE-2019-19781的漏洞为一路径跨越漏洞（path traversal vulnerability），成功的开采可让攻击者不需经过验证而执行任意程式码。本项漏洞CVSS 3.0风险分数为代表“重大”的9.8分。受影响产品包括Citrix Application Delivery Controller（原为Netscaler ADC），Citrix Gateway（原Netscaler Gateway）软件10.5、11.1、12.0、12.1和13.0版本，以及Citrix SD-WAN WANOP 10.2.6与11.0.3版。

Citrix于12月中发出安全公告，但当时还没有修补程式，仅能提供权宜方法，要求企业变更组态以免受骇。

这问题相当严重，因为根据最早揭露本漏洞的Positive Technologies指出，曝露于风险中的用户包括158个国家至少8万家企业，以数量而言又以美、英、德、荷及澳洲居首。

果不其然，安全研究人员发现今年初网络上针对Citirix扫描的活动急遽增加，另一家安全厂商TrustedSec发现GitHub上出现针对CVE-2019-19781的概念验证攻击程式。

而上周安全厂商FireEye发现一只名为NOTROBIN的神秘后门程式，它会将Citrix Netscaler ADC装置上头现有恶意程式清除掉，它自己却保留在受害装置中，研究人员尚未找到其用意及撰写的人或组织，但推测可能是想独占存取权以便日后再利用。

Citirix已于本月19日释出Citrix ADC和Citrix Gateway 11.1及12.0的更新版本。不过Citrix ADC、Citrix Gateway 10.5、12.1、13.0版，以及Citrix SD-WAN WANOP 10.2.6及11.0.3版的更新版，要到1月24日才会释出。在此之前，Citrix提醒用户仍应采行12月提供的暂时方案。