Citrix Secure Access Client for Ubuntu の深刻な RCE 脆弱性 CVE-2023-24492 などが FIX

Citrix Patches Critical Vulnerability in Secure Access Client for Ubuntu

2023/07/12 SecurityWeek — 7月12日に Citrix は、Ubuntu 版 Secure Access クライアントに存在する、深刻なリモート・コード実行 (RCE) の脆弱性 CVE-2023-24492 (CVSS：9.6) に対するパッチをリリースした。Citrix のアドバイザリによると、この脆弱性の悪用においては、ユーザーによる操作が必要だという。

NIST のアドバイザリでは、「Ubuntu 版 Citrix Secure Access クライアントに脆弱性が発見された。この脆弱性の悪用に成功した攻撃者 は、作成した悪意のリンクをユーザーに開かせ、ユーザーがプロンプトを受け入れた場合に、リモートでコードを実行する可能性がある」と説明されている。

Citrix は、この脆弱性に関する技術的な詳細は明らかにしていないが、Ubuntu 版 Secure Access クライアント 23.5.2 において、この脆弱性に対処したことを発表した。

また、同社は 7月11日に、Windows 版 Secure Access クライアントの権限昇格の脆弱性 CVE-2023-24491 (CVSS：7.8) に対するパッチも発表している。

この脆弱性の悪用に成功した攻撃者は、標準のユーザ・アカウントと脆弱なクライアントでエンドポイントにアクセスして、NT AuthoritySystem に権限昇格させることが可能になる。

この脆弱性は、Windows 版 Secure Access クライアント23.5.1.3 で対処された。Citrix によると、これら２つの脆弱性の報告者は F2TC Cyber Security の Rilke Petrosky とのことだ。

Citrix ADC／Gateway の SSL VPN アップグレード・コントロール機能を介して、脆弱性のあるクライアントが配布されている場合には、直ちにインストールを更新し、Citrix ADC／Gateway 上の脆弱なクライアントを置き換えることが推奨される。

ただし Citrix は、Secure Access クライアントをスタンドアロンでもリリースしているため、ユーザーはパッチを適用したバージョンを、ユーザーのデバイスに直接インストール／更新できる。

これらの脆弱性が攻撃に悪用されたことについては、Citrix は何も言及していない。しかし、パッチが適用されていない Citrix 製品が、サイバー攻撃の標的になることは珍しくないので注意が必要である。これらの脆弱性の詳細については、Citrix のセキュリティ情報ページで確認できる。

文中にもあるように、Citrix の脆弱性は悪用されることが多いので、速やかなアップデートが必要です。Citrix に関しては、2023/02/15 の「Citrix 製品群における CVE-2023-24483 などの深刻な脆弱性が FIX：回避策は存在しない」という記事もあります。よろしければ、Citrix で検索も、ご利用ください。