风险提示｜Citrix NetScaler ADC/NetScaler Gateway会话令牌泄漏

lCitrix NetScaler ADC是一款高性能的应用交付和负载均衡解决方案产品，可以优化应用的可用性、速度和安全性。NetScaler Gateway则是提供远程访问的产品，确保用户能够安全地从任何地方访问企业资源。
近期，长亭科技监测到Citrix官方发布了新补丁修复了一处敏感信息（会话令牌）泄露漏洞。
长亭应急团队经过分析后发现可通过缓冲区溢出漏洞导致敏感信息泄露。考虑到Citrix NetScaler设备在网络中的核心作用，建议及时修复漏洞。为了方便用户排查受影响的资产，根据漏洞原理编写了XPoC远程检测工具和牧云本地检测工具，工具向公众开放下载使用。

漏洞描述

该漏洞源于Citrix NetScaler ADC 和 NetScaler Gateway在处理OpenID Connect Discovery endpoint时的缓冲区管理存在问题。攻击者可以通过发送包含大量字符的HTTP Host头的请求来触发缓冲区溢出，导致敏感信息泄露，如会话token。攻击者可利用泄露的用户token，突破边界进入内网。

检测工具

检测工具

X-POC远程检测工具

检测方法
xpoc -r 412 -t http://xpoc.org

工具获取方式

• https://github.com/chaitin/xpoc
• https://stack.chaitin.com/tool/detail/1036

影响范围

以下支持的NetScaler ADC和NetScaler Gateway版本受到漏洞的影响：

• NetScaler ADC 和 NetScaler Gateway 14.1 在 14.1-8.50 之前的版本
• NetScaler ADC 和 NetScaler Gateway 13.1 在 13.1-49.15 之前的版本
• NetScaler ADC 和 NetScaler Gateway 13.0 在 13.0-92.19 之前的版本
• NetScaler ADC 13.1-FIPS 在 13.1-37.164 之前的版本
• NetScaler ADC 12.1-FIPS 在 12.1-55.300 之前的版本
• NetScaler ADC 12.1-NDcPP 在 12.1-55.300 之前的版本

注：NetScaler ADC 和 NetScaler Gateway 版本 12.1 现已停止支持（EOL），并且是易受攻击的。
此公告仅适用于客户管理的NetScaler ADC和NetScaler Gateway产品。使用Citrix管理的云服务或Citrix管理的自适应认证的客户无需采取任何行动。

解决方案

升级修复方案

官方已经推出了新版本修复了漏洞。建议所有受影响的用户尽快访问官方网站（https://support.citrix.com/），更新版本至新版本。

产品支持

• 云图：默认支持该产品的指纹识别，同时支持该漏洞的PoC原理检测。
• 洞鉴：将于近期完成支持。
• 雷池：已发布虚拟补丁支持该漏洞利用行为的检测。
• 全悉：预期10月26日前发布规则升级包，支持检测该漏洞的利用行为。

时间线

• 10月24日 互联网公开漏洞情报
• 10月25日 长亭应急响应实验室漏洞分析与复现
• 10月25日 长亭安全应急响应中心发布通告

参考资料

[1].https://support.citrix.com/