ISC meldt actief misbruik van beveiligingslek in Citrix Session Recording

[Captain Kirk]

Het Internet Storm Center (ISC) meldt vandaag dat aanvallers actief misbruik maken van kwetsbaarheden in 'Citrix Session Recording' waarvoor op 12 november updates verschenen. Citrix Virtual Apps and Desktops is software voor het virtualiseren van applicaties. Het is een remote access oplossing die ervoor zorgt dat Windowsapplicaties, die op een server draaien, vanaf allerlei apparaten toegankelijk zijn.

De virtualisatiesoftware zorgt ervoor dat eindgebruikers applicaties kunnen draaien ongeacht het besturingssysteem en interface van hun apparaat, aldus de uitleg van Citrix. Het wordt vooral voor thuiswerken gebruikt. Citrix biedt ook de mogelijkheid om de sessie van de gebruiker op te nemen, zodat een beheerder die later kan bekijken. Deze 'Session Recording Server', kan op dezelfde machine draaien waarop de Citrix Virtual Apps and Desktop is geïnstalleerd of een aparte machine.

De Session Recording Service bevat een deserialization kwetsbaarheid waar een ongeauthenticeerde aanvaller misbruik van kan maken. Die kan een speciaal geprepareerd request naar de server sturen die uiteindelijk bij de kwetsbare service terechtkomt en wordt uitgevoerd, aldus securitybedrijf Watchtowr dat de kwetsbaarheid vorige week beschreef, alsmede proof-of-concept exploitcode gaf. Het Internet Storm Center laat weten dat het actief misbruik van de kwetsbaarheid heeft waargenomen, waarbij aanvallers een request versturen dat de server een script laat uitvoeren. Wat het script precies doet is onbekend.

 

Update

Citrix kwam op 12 november met updates voor de door Watchtowr gevonden kwetsbaarheden, aangeduid als CVE-2024-8068 en CVE-2024-8069. Op 14 november wijzigde Citrix het beveiligingsbulletin en veranderde de naam van 'Citrix Virtual Apps and Desktops' in 'Citrix Session Recording', om beter het kwetsbare product weer te geven. Het artikel is hierop aangepast. Watchtowr publiceerde op 12 november informatie over beide kwetsbaarheden, maar stelde toen dat er nog geen CVE-nummers bekend waren.

 

bron: https://www.security.nl