NetScaler

Betroffen sind die Citrix-Produkte NetScaler ADC und NetScaler Gateway, die als Application Delivery Controller beziehungsweise als Fernzugriffs- und VPN-Gateway typischerweise am Netzwerkrand und damit direkt aus dem Internet erreichbar betrieben werden. Der Fehler liegt in einer unzureichenden Prüfung eingehender Eingaben: Die Geräte verarbeiten übermittelte Daten, ohne sie ausreichend zu validieren. Dadurch kann ein Angreifer aus der Ferne und ohne gültige Zugangsdaten eigene Befehle auf dem System ausführen lassen. Eine vorherige Anmeldung oder eine Mitwirkung von Benutzern ist nicht erforderlich. Gelingt der Angriff, erhält der Angreifer die Möglichkeit, beliebige Kommandos auf dem Gerät auszuführen, womit er dessen Funktion manipulieren und den darüber geführten Zugriff auf interne Systeme beeinträchtigen kann. Betroffen sind sowohl die regulären Ausführungen als auch die FIPS- und NDcPP-Varianten der Appliance-Software.