CVE-2022-27510

Citrix Gateway / ADC — nieautoryzowany dostęp do funkcji użytkownika Gateway

CVSS 9.8v3.1pub. 2022-11-08upd. 2024-11-21

Podatność w Citrix Gateway oraz Citrix Application Delivery Controller (ADC) umożliwia nieuwierzytelnionemu atakującemu zdalny dostęp do funkcji zarezerwowanych dla zalogowanych użytkowników Gateway. Krytyczny poziom CVSS 9.8 wynika z braku wymogu uwierzytelnienia, interakcji użytkownika ani specjalnych uprawnień.

▸ Pokaż oryginał (EN)

Unauthorized access to Gateway user capabilities

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-288 (Authentication Bypass Using an Alternate Path or Channel) oraz CWE-287 (Improper Authentication) wskazuje, że mechanizm uwierzytelniania można ominąć przez alternatywną ścieżkę lub kanał dostępu. Atakujący sieciowy, bez żadnych poświadczeń, może uzyskać dostęp do chronionych zasobów i funkcji portalu Gateway, omijając standardowy proces logowania.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do funkcji i zasobów przeznaczonych wyłącznie dla uwierzytelnionych użytkowników Gateway, co może prowadzić do naruszenia poufności, integralności oraz dostępności systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — biuletyn bezpieczeństwa Citrix CTX463706 dostępny pod adresem https://support.citrix.com/article/CTX463706

Kogo dotyczy

Citrix Gateway oraz Citrix Application Delivery Controller Firmware — konkretne wersje wskazane w referencjach producenta (biuletyn CTX463706)

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Citrix Application Delivery Controller
HW
Citrix
wszystkie wersje
Citrix Application Delivery Controller Firmware
OS
Citrix
12.1 – 12.1-55.289 (bez)12.1 – 12.1-65.21 (bez)13.0 – 13.0-88.12 (bez)13.1 – 13.1-33.47 (bez)
Citrix Gateway
APP
Citrix
13.1 – 13.1-33.41 (bez)12.1 – 12.1-65.21 (bez)13.0 – 13.0-88.12 (bez)