Aufgrund eines weiteren CVE’s (CVE-2021-45105) bezüglich der Log4j Schwachstelle hat Citrix erneut Updates für XenMobile Server herausgebracht, s. https://support.citrix.com/article/CTX335705
Updates für diese Versionen stehen zum Download bereit:
Dieses Update sollte schnellstmöglich installiert werden.
UPDATE 16.12.2021, 10.50 Uhr
Für Citrix Endpoint Management (Citrix XenMobile Server) steht ein Update bereit, welches die Log4j Schwachstelle fixt. Bitte so schnell wie möglich das RP2 für XenMobile Server 10.14 installieren: https://support.citrix.com/article/CTX335763
10.14 RP2 – Remove log4j1.x of Kafka (used in GoogleAnalytics) and upgrade log4j2.x to 2.16.0
[From xms_10.14.0.10206.bin] [CXM-102878]
Original Artikel
Am 09.12.2021 wurde der CVE-2021-44228 publiziert. In diesem geht es um eine Sicherheitslücke im log4j. Die Schwachstelle ist in jeder Version vom log4j enthalten und betrifft zum Grossteil Java Applikationen. In Version log4j 2.15.0 wurde diese Schwachstelle behoben.
Citrix Virtual Apps and Desktops (XenApp & XenDesktop) alle anderen Komponenten
Bei Verwendung der Citrix Web Application Firewall auf dem Citrix ADC (NetScaler) können Applikationen mittels der Web Application Firewall Signaturen gegen diese Schwachstelle geschützt werden. Dazu müssen die Signaturen von Hand aktualisiert werden:
Aktivieren der Signaturen:
Als Alternative, wenn das AppFW Feature nicht lizensiert wurde, kann der Schutz auch mittels Responser Policies gewährleistet werden, hierzu gibt es den folgenden GitHub Eintrag, welcher von den Mitgliedern des Citrix PTEC zur Verfügung gestellt wurde: https://github.com/mbp-netscaler/ADC
Die Application Firewall Signaturen und die Responder Policies bieten aber keine 100% Sicherheit, daher wird empfohlen, log4j zu aktualisieren oder mindestens den folgenden Eintrag zu setzen: “log4j2.formatMsgNoLookups” auf “true” zu setzen.
Wählen Sie dann den Puntk «Upcoming Auto-Renewals«
Suchen Sie das Angebot zur automatischen Verlängerung, das Sie stornieren möchten, und klicken Sie auf die entsprechenden Ellipsen (drei Punkte) auf dem Angebot, um eine Liste der Optionen anzuzeigen.
Um die anstehende automatische Verlängerung zu stornieren, wählen Sie die Option «Cancel auto-renewal«. Es wird ein Pop-up-Fenster angezeigt, das Sie darüber informiert, dass Sie eine automatische Verlängerung stornieren möchten, und Sie auffordert, eine Umfrage zur Stornierung auszufüllen. Die Umfrage ist erforderlich, um den Stornierungsvorgang abzuschliessen.
Klicken Sie auf «Go«. Dadurch werden Sie zu DOTI weitergeleitet, um die erforderliche Umfrage zur Stornierung und den Stornierungsvorgang abzuschließen.
Füllen Sie die Informationen in der Umfrage aus, markieren Sie das Kästchen «I Agree» und klicken Sie dann auf die Schaltfläche «Submit«, um den Stornierungsvorgang abzuschließen.
Nach der Übermittlung der Umfrage erhalten Sie in Citrix Mein Konto auf der Seite «Upcoming Auto-Renewals» eine Nachricht, die bestätigt, dass die automatische Verlängerung storniert wurde. o Die Dienste sind bis zum Ablaufdatum weiterhin verfügbar.
Der Status der automatischen Verlängerung ändert sich in «WITHDRAWN«.
Lizenzstatus Prüfen
Sie haben Fragen zu Ihren Lizenzen oder möchten den aktuellen Lizenzstatus überprüfen lassen? Wir helfen Ihnen gerne bei allen Fragen rund um die Citrix Lizenzierung weiter und prüfen Ihren aktuellen Status. Medlen Sie sich einfach bei uns per Mail oder Telefon.
Kunden die auf ihrem NetScaler Kerberos verwenden, bekommen nach dem Nov. Update ein Problem. Kerberos mit dem NetScaler funktioniert danach nicht mehr.
Folglich funktionieren KCD und Kerberos Impersonation nicht mehr.
Das Deaktivieren der neuen Sicherheitsrichtlinie via Registry Key hilft nicht. Momentan bleibt einzig ein Rollback des Windows Updates auf den Stand 2021-10.
Momentan existiert noch keine Lösung. Bis auf weiteres sollten Kunden das Nov. Update nicht auf den Domain Controllern einspielen, wenn sie Kerberos via NetScaler benötigen.
Sobald eine Lösung existiert, wird dieser Artikel aktualisiert.
UPDATE:
Microsoft hat ein Out-of-Band Update bereitgestellt, welches die genannten Probleme behebt. Dieses Update wird allerdings NICHT via Windows Update verteilt, sondern steht nur im Microsoft Update Catalog zum Download bereit. Es muss also manuell heruntergeladen und auf den Domain Controllern installiert werden. Direkte Download Links sind hier zu finden:
The complete list of out-of-band updates released by Microsoft over the weekend includes:
Citrix hat heute ein neues Security Bulletin veröffentlicht. Es gibt zwei neue Schwachstellen in allen NetScaler Versionen, welche eine Denial of Service Attacke ermöglichen. Eine der Schwachstellen wurde mit dem Status «Critical» versehen, da sie sich ohne Authentifizierung vom Internet aus ausnutzen lässt.
CVE-ID
Description
CWE
Affected Products
Pre-conditions
Criticality
CVE-2021-22955
Unauthenticated denial of service
CWE-400: Uncontrolled Resource Consumption
Citrix ADC, Citrix Gateway
Appliance must be configured as a VPN (Gateway) or AAA virtual server
Critical
CVE-2021-22956
Temporary disruption of the Management GUI, Nitro API and RPC communication
Das Update von Firmware Versionen kleiner, oder gleich 12.1.59.x, bzw. 13.0.64.35 führt dazu, dass der SSO für viele Anwendungen nicht mehr funktioniert. Vor dem Update sollte daher unbedingt folgender Citrix eDocs Artikel gelesen werden: Enable SSO for Basic, Digest, and NTLM authentication (citrix.com)
In NetScaler 13.1.4.43 sind Classic Policies nicht mehr supportet. Vor einem Update auf 13.1.x sollte daher unbedingt eine vorherige Überprüfung der NetScaler Konfiguration durchgeführt werden, s. Classic Policy Deprecation FAQs
Multiple vulnerabilities have been discovered in Citrix ADC (formerly known as NetScaler ADC), Citrix Gateway (formerly known as NetScaler Gateway) and Citrix SD-WAN WANOP appliance models 4000-WO, 4100-WO, 5000-WO, and 5100-WO. These vulnerabilities, if exploited, could result in the following security issues:
CVE-ID
Description
CWE
Affected Products
Pre-conditions
CVE-2020-8299
Network-based denial-of-service from within the same Layer 2 network segment
CWE-400: Uncontrolled Resource Consumption
Citrix ADC, Citrix Gateway, Citrix SD-WAN WANOP
The attacker machine must be in the same Layer 2 network segment as the vulnerable appliance
The following supported versions of Citrix ADC, Citrix Gateway and Citrix SD-WAN WANOP are affected by CVE-2020-8299:
Citrix ADC and Citrix Gateway 13.0 before 13.0-76.29
Citrix ADC and Citrix Gateway 12.1 before 12.1-61.18
Citrix ADC and NetScaler Gateway 11.1 before 65.20
Citrix ADC 12.1-FIPS before 12.1-55.238
Citrix SD-WAN WANOP 11.4 before 11.4.0
Citrix SD-WAN WANOP 11.3 before 11.3.2
Citrix SD-WAN WANOP 11.3 before 11.3.1a
Citrix SD-WAN WANOP 11.2 before 11.2.3a
Citrix SD-WAN WANOP 11.1 before 11.1.2c
Citrix SD-WAN WANOP 10.2 before 10.2.9a
What Customers Should Do
The following supported versions of Citrix ADC, Citrix Gateway, and Citrix SD-WAN WANOP address CVE-2020-8299, a Medium severity vulnerability.
Citrix ADC and Citrix Gateway 13.0-76.29 and later releases of 13.0
Citrix ADC and Citrix Gateway 12.1-61.18 and later releases of 12.1
Citrix ADC and NetScaler Gateway 11.1-65.20 and later releases of 11.1
Citrix ADC 12.1-FIPS 12.1-55.238 and later releases of 12.1-FIPS
Citrix SD-WAN WANOP 11.4.0 and later releases of 11.4
Citrix SD-WAN WANOP 11.3.2 and later releases of 11.3
Citrix SD-WAN WANOP 11.3.1a and later releases of 11.3
Citrix SD-WAN WANOP 11.2.3a and later releases of 11.2
Citrix SD-WAN WANOP 11.1.2c and later releases of 11.1
Citrix SD-WAN WANOP 10.2.9a and later releases of 10.2
