NetScaler Kerberos Authentication funktioniert nach dem Windows Update 2021-11 nicht mehr

NetScaler Kerberos Authentication funktioniert nach dem Windows Update 2021-11 nicht mehr

by | Nov 12, 2021 | ALARM

Kunden die auf ihrem NetScaler Kerberos verwenden, bekommen nach dem Nov. Update ein Problem. Kerberos mit dem NetScaler funktioniert danach nicht mehr.

Microsoft aktiviert mit dem Update einen neuen Security Mechanismus, s. https://support.microsoft.com/en-us/topic/kb5008380-authentication-updates-cve-2021-42287-9dafac11-e0d0-4cb8-959a-143bd0201041, mit dem der NetScaler aktuell nicht umgehen kann.

Folglich funktionieren KCD und Kerberos Impersonation nicht mehr.

Das Deaktivieren der neuen Sicherheitsrichtlinie via Registry Key hilft nicht. Momentan bleibt einzig ein Rollback des Windows Updates auf den Stand 2021-10.

Momentan existiert noch keine Lösung. Bis auf weiteres sollten Kunden das Nov. Update nicht auf den Domain Controllern einspielen, wenn sie Kerberos via NetScaler benötigen.

Sobald eine Lösung existiert, wird dieser Artikel aktualisiert.

UPDATE:

Microsoft hat ein Out-of-Band Update bereitgestellt, welches die genannten Probleme behebt. Dieses Update wird allerdings NICHT via Windows Update verteilt, sondern steht nur im Microsoft Update Catalog zum Download bereit. Es muss also manuell heruntergeladen und auf den Domain Controllern installiert werden. Direkte Download Links sind hier zu finden:

The complete list of out-of-band updates released by Microsoft over the weekend includes:

NetScaler Kerberos Authentication funktioniert nach dem Windows Update 2021-11 nicht mehr

CVE-2021-22955, CVE-2021-22956 – DOS Angriffe auf NetScaler

by | Nov 9, 2021 | ALARM

Citrix hat heute ein neues Security Bulletin veröffentlicht. Es gibt zwei neue Schwachstellen in allen NetScaler Versionen, welche eine Denial of Service Attacke ermöglichen. Eine der Schwachstellen wurde mit dem Status «Critical» versehen, da sie sich ohne Authentifizierung vom Internet aus ausnutzen lässt.

CVE-ID  Description  CWE  Affected Products  Pre-conditions Criticality 
CVE-2021-22955 Unauthenticated denial of service  CWE-400: Uncontrolled Resource Consumption Citrix ADC, Citrix Gateway Appliance must be configured as a VPN (Gateway) or AAA virtual server Critical 
CVE-2021-22956 Temporary disruption of the Management GUI, Nitro API and RPC communication CWE-400: Uncontrolled Resource Consumption Citrix ADC, Citrix Gateway, Citrix SD-WAN WANOP Edition Access to NSIP or SNIP with management interface access Low 

Was ist zu tun

Citrix stellt für alle supporteten Linien aktualisierte Versionen bereit:

  • Citrix ADC and Citrix Gateway 13.1-4.43 and later releases of 13.1 
  • Citrix ADC and Citrix Gateway 13.0-83.27 and later releases of 13.0 
  • Citrix ADC and Citrix Gateway 12.1-63.22 and later releases of 12.1 
  • Citrix ADC and NetScaler Gateway 11.1-65.23 and later releases of 11.1 
  • Citrix ADC 12.1-FIPS 12.1-55.257 and later releases of 12.1-FIPS 

Download unter https://www.citrix.com/downloads/citrix-adc.html

Zum Abdichten der Schwachstelle CVE-2021-22956 ist ausserdem eine manuelle Konfiguration notwendig, s. https://support.citrix.com/article/CTX331588

ACHTUNG:

Das Update von Firmware Versionen kleiner, oder gleich 12.1.59.x, bzw. 13.0.64.35 führt dazu, dass der SSO für viele Anwendungen nicht mehr funktioniert. Vor dem Update sollte daher unbedingt folgender Citrix eDocs Artikel gelesen werden: Enable SSO for Basic, Digest, and NTLM authentication (citrix.com)

In NetScaler 13.1.4.43 sind Classic Policies nicht mehr supportet. Vor einem Update auf 13.1.x sollte daher unbedingt eine vorherige Überprüfung der NetScaler Konfiguration durchgeführt werden, s. Classic Policy Deprecation FAQs

NetScaler Kerberos Authentication funktioniert nach dem Windows Update 2021-11 nicht mehr

Erneut schwere Exchange Lücke – sofort patchen!

by | Apr 13, 2021 | ALARM

In Exchange 2013 / 2016 / 2019 ist erneut eine schwerwiegende Lücke gefunden worden, welche einem unauthentifizierten Benutzer erhöhte Rechte verschaffen kann. Eine komplette Kompromittierung des Exchange Servers ist möglich, einschliesslich der Installation einer Web Shell oder eines Verschlüsselungstools.

Die Lücke wird bereits aktiv ausgenutzt. Es wird daher dringend geraten, die Exchange Server so schnell wie möglich zu patchen.

Details zu den Schwachstellen und zur Identifizierung bereits infizierter Server sind hier zu finden:

Microsoft stellt hier Informationen zum Out-of-Band Update bereit:

Am einfachsten lässt sich der Patch über die Windows Update Funktion installieren. Für eine manuelle Installation der MSP Dateien ist unbedingt darauf zu achten, diese mit «Run as Admin…» auszuführen, da es sonst zu Fehlern bei der Installation kommen kann.

NetScaler Kerberos Authentication funktioniert nach dem Windows Update 2021-11 nicht mehr

Neue NetScaler Schwachstellen (CTX276688)

by | Jul 7, 2020 | ALARM

Heute hat Citrix ein Security Bulletin (CTX276688) veröffentlicht, in dem alle NetScaler und SD-WAN Kunden auf mehrere, teils schwerwiegende Sicherheitslücken aufmerksam gemacht wurden.

Hier finden sich Details zu den Schwachstellen: Security Bulletin (CTX276688)

Einige Schwachstellen sind nur über die NSIP (Management IP) ausnutzbar, so dass ein Angreifer Zugang zum internen Netzwerk benötigt.

In ungepatchten Versionen sind allerdings auch Schwachstellen vorhanden, welche über die VIP’s angreifbar sind.

Aktuell sind noch keine Exploits bekannt, es wird jedoch allen NetScaler Betreibern geraten, das entsprechende Update schnellstmöglich zu installieren.

Für alle NetScaler Version von 10.5 bis 13.0 stehen bereits abgesicherte Versionen im Downloadbereich von Citrix zur Verfügung:

  • Citrix ADC and Citrix Gateway 13.0-58.30 and later releases
  • Citrix ADC and NetScaler Gateway 12.1-57.18 and later 12.1 releases
  • Citrix ADC and NetScaler Gateway 12.0-63.21 and later 12.0 releases
  • Citrix ADC and NetScaler Gateway 11.1-64.14 and later 11.1 releases
  • NetScaler ADC and NetScaler Gateway 10.5-70.18 and later 10.5 releases
  • Citrix SD-WAN WANOP 11.1.1a and later releases
  • Citrix SD-WAN WANOP 11.0.3d and later 11.0 releases
  • Citrix SD-WAN WANOP 10.2.7 and later 10.2 releases
  • Citrix Gateway Plug-in for Linux 1.0.0.137 and later versions
HPE warnt erneut vor SSD-Ausfällen

HPE warnt erneut vor SSD-Ausfällen

by | Mrz 26, 2020 | INFO

HPE warnt erneut vor dem Ausfall von Enterprise SSD’s.

Ein Fehler in der Firmware kann bei betroffenen SSD’s zu Datenverlust führen, sobald diese 40’000 Betriebsstunden erreichen.

Betroffen sind HPE SSD’s mit den Modellnummern:

  • EK0800JVYPN
  • EO1600JVYPP
  • MK0800JVYPQ
  • MO1600JVYPR

Der Hersteller verbaut diese in den Systemen ProLiant, Synergy, Apollo 4200, Synergy Storage Modules, D3000 Storage Enclosure und StoreEasy 1000 Storage. Die Firmware-Version HPD7 vom 20. März 2020 behebt das Problem.

Den eigenen Daten zufolge sollen ohne Firmware-Update im Oktober 2020 die ersten SSDs bei Kunden ausfallen.

Die Webseite Blocks & Files hat ein gleich klingendes Firmware-Problem bei Dell entdeckt, dessen Support vor Ausfällen nach 40.000 Betriebsstunden warnte. Schuld ist demnach ein falsch gesetzter Check mit N-1 statt N. Laut Dell kommen bei den betroffenen Modellen neun verschiedene SSDs der Western-Digital-Tochter SanDisk mit Kapazitäten von 200 GByte bis 1,6 TByte zum Einsatz. Die Zulieferernummern auf den HPE-Datenträgern sprechen ebenfalls für SSDs von SanDisk. Auch Dell stellt entsprechende Firmware-Updates bereit.

Weiterführende Informationen:

HPE: https://support.hpe.com/hpesc/public/docDisplay?docLocale=en_US&docId=a00097382en_us

Dell: https://www.reddit.com/r/sysadmin/comments/f5k95v/dell_emc_urgent_firmware_update/

Download Links zu gepatchter Firmware:

VMware: https://support.hpe.com/hpsc/swd/public/detail?swItemId=MTX_d7d14f78762742fa8120d49607

Windows: https://support.hpe.com/hpsc/swd/public/detail?swItemId=MTX_0f92866e85b2483c9395951c5d

Linux: https://support.hpe.com/hpsc/swd/public/detail?swItemId=MTX_312e7d8bf9ad443687dc5ceed9

Allen Kunden wird dringend angeraten, ihre Systeme auf betroffene Firmware zu überprüfen und baldmöglichst eine korrigierte Firmware einzuspielen.