Application Delivery Controller (ADC), Gateway, and SD-WAN WANOP Appliance

Die Schwachstelle betrifft die Citrix-Produkte Application Delivery Controller (ADC) und Gateway sowie die SD-WAN-WANOP-Appliance. Ursache ist eine fehlerhafte Zugriffskontrolle: Die Geräte prüfen nicht ausreichend, welche Berechtigungen ein Nutzer für bestimmte Informationen besitzt. Dadurch kann ein Angreifer, der bereits über ein Konto mit niedrigen Rechten verfügt, auf Daten zugreifen, die ihm eigentlich vorenthalten bleiben sollten. Der Umfang der so offengelegten Informationen ist begrenzt, doch erweitert der Zugriff den Kenntnisstand des Angreifers über das System und kann weitere Angriffe vorbereiten. Voraussetzung ist also kein anonymer Zugang, sondern ein bereits vorhandenes, gering privilegiertes Benutzerkonto. Betroffen sind die genannten Geräte, die häufig als Netzwerk- und Fernzugriffskomponenten am Rand der Unternehmensinfrastruktur eingesetzt werden und damit eine exponierte Position im Datenverkehr einnehmen.