Google Chrome v96 and Microsoft Edge Chromium v98 ändern den Pfad zum Speichern der Cookies. Der Pfad wird nach dem Update automatisch migriert. Kunden mit Profilmanagement Lösungen sollten die neuen Pfade in ihre Konfiguration einpflegen.
Bisher (Chrome): %LocalAppData%\Google\Chrome\User Data\Default\cookies
Bisher (MS Edge): %LocalAppData%\Microsoft\Edge\User Data\Default\cookies
Neu (Chrome): %LocalAppData%\Google\Chrome\User Data\Default\Network\cookies
Neu (MS Edge): %LocalAppData%\Microsoft\Edge\User Data\Default\Network\cookies
Neuer Pfad
Folgende Dateien sollten neu zusätzlich geroamt werden:
Kunden die auf ihrem NetScaler Kerberos verwenden, bekommen nach dem Nov. Update ein Problem. Kerberos mit dem NetScaler funktioniert danach nicht mehr.
Folglich funktionieren KCD und Kerberos Impersonation nicht mehr.
Das Deaktivieren der neuen Sicherheitsrichtlinie via Registry Key hilft nicht. Momentan bleibt einzig ein Rollback des Windows Updates auf den Stand 2021-10.
Momentan existiert noch keine Lösung. Bis auf weiteres sollten Kunden das Nov. Update nicht auf den Domain Controllern einspielen, wenn sie Kerberos via NetScaler benötigen.
Sobald eine Lösung existiert, wird dieser Artikel aktualisiert.
UPDATE:
Microsoft hat ein Out-of-Band Update bereitgestellt, welches die genannten Probleme behebt. Dieses Update wird allerdings NICHT via Windows Update verteilt, sondern steht nur im Microsoft Update Catalog zum Download bereit. Es muss also manuell heruntergeladen und auf den Domain Controllern installiert werden. Direkte Download Links sind hier zu finden:
The complete list of out-of-band updates released by Microsoft over the weekend includes:
Citrix hat heute ein neues Security Bulletin veröffentlicht. Es gibt zwei neue Schwachstellen in allen NetScaler Versionen, welche eine Denial of Service Attacke ermöglichen. Eine der Schwachstellen wurde mit dem Status «Critical» versehen, da sie sich ohne Authentifizierung vom Internet aus ausnutzen lässt.
CVE-ID
Description
CWE
Affected Products
Pre-conditions
Criticality
CVE-2021-22955
Unauthenticated denial of service
CWE-400: Uncontrolled Resource Consumption
Citrix ADC, Citrix Gateway
Appliance must be configured as a VPN (Gateway) or AAA virtual server
Critical
CVE-2021-22956
Temporary disruption of the Management GUI, Nitro API and RPC communication
Das Update von Firmware Versionen kleiner, oder gleich 12.1.59.x, bzw. 13.0.64.35 führt dazu, dass der SSO für viele Anwendungen nicht mehr funktioniert. Vor dem Update sollte daher unbedingt folgender Citrix eDocs Artikel gelesen werden: Enable SSO for Basic, Digest, and NTLM authentication (citrix.com)
In NetScaler 13.1.4.43 sind Classic Policies nicht mehr supportet. Vor einem Update auf 13.1.x sollte daher unbedingt eine vorherige Überprüfung der NetScaler Konfiguration durchgeführt werden, s. Classic Policy Deprecation FAQs
In Exchange 2013 / 2016 / 2019 ist erneut eine schwerwiegende Lücke gefunden worden, welche einem unauthentifizierten Benutzer erhöhte Rechte verschaffen kann. Eine komplette Kompromittierung des Exchange Servers ist möglich, einschliesslich der Installation einer Web Shell oder eines Verschlüsselungstools.
Die Lücke wird bereits aktiv ausgenutzt. Es wird daher dringend geraten, die Exchange Server so schnell wie möglich zu patchen.
Details zu den Schwachstellen und zur Identifizierung bereits infizierter Server sind hier zu finden:
Am einfachsten lässt sich der Patch über die Windows Update Funktion installieren. Für eine manuelle Installation der MSP Dateien ist unbedingt darauf zu achten, diese mit «Run as Admin…» auszuführen, da es sonst zu Fehlern bei der Installation kommen kann.
Heute hat Citrix ein Security Bulletin (CTX276688) veröffentlicht, in dem alle NetScaler und SD-WAN Kunden auf mehrere, teils schwerwiegende Sicherheitslücken aufmerksam gemacht wurden.
Einige Schwachstellen sind nur über die NSIP (Management IP) ausnutzbar, so dass ein Angreifer Zugang zum internen Netzwerk benötigt.
In ungepatchten Versionen sind allerdings auch Schwachstellen vorhanden, welche über die VIP’s angreifbar sind.
Aktuell sind noch keine Exploits bekannt, es wird jedoch allen NetScaler Betreibern geraten, das entsprechende Update schnellstmöglich zu installieren.
Für alle NetScaler Version von 10.5 bis 13.0 stehen bereits abgesicherte Versionen im Downloadbereich von Citrix zur Verfügung:
Citrix ADC and Citrix Gateway 13.0-58.30 and later releases
Citrix ADC and NetScaler Gateway 12.1-57.18 and later 12.1 releases
Citrix ADC and NetScaler Gateway 12.0-63.21 and later 12.0 releases
Citrix ADC and NetScaler Gateway 11.1-64.14 and later 11.1 releases
NetScaler ADC and NetScaler Gateway 10.5-70.18 and later 10.5 releases
Citrix SD-WAN WANOP 11.1.1a and later releases
Citrix SD-WAN WANOP 11.0.3d and later 11.0 releases
Citrix SD-WAN WANOP 10.2.7 and later 10.2 releases
Citrix Gateway Plug-in for Linux 1.0.0.137 and later versions
