Citrix远程代码执行漏洞CVE-2019-19781

Citrix ADC 是业界领先的应用交付控制器、L4-7 负载均衡器和 GSLB,在各种设备和地点确保百分之百的正常运行时间和无与伦比的安全性。CVE-2019-19781是利用两个漏洞组合进行远程代码执行攻击，所利用的两个漏洞分别是目录遍历漏洞和文件上传漏洞。攻击者可以利用目录遍历漏洞突破/vpns/路径的权限控制。

Citrix即美国思杰公司，是一家致力于云计算虚拟化、虚拟桌面和远程接入技术领域的高科技企业。Citrix ADC 是业界领先的应用交付控制器、L4-7 负载均衡器和 GSLB,在各种设备和地点确保百分之百的正常运行时间和无与伦比的安全性。

CVE-2019-19781是利用两个漏洞组合进行远程代码执行攻击，所利用的两个漏洞分别是目录遍历漏洞和文件上传漏洞。攻击者可以利用目录遍历漏洞突破/vpns/路径的权限控制，接下来只需要找到文件写入操作的入口，即可结合目录遍历漏洞实现在目标服务器上执行任意命令。

在寻找文件写入操作的过程中，总共分为两个阶段。第一阶段，在UsersPrefs Perl模块中找到了csd函数，代码如下：

csd函数会根据HTTP头部中的NSC_USER字段传入的值构造路径，并且没有任何检测机制，任何调用此函数的脚本都可以利用NSC_USER字段构造路径。第二阶段，找到可以写入xml文件的newbm.pl脚本。此脚本调用了csd函数，并将$newBM变量加入数组中，然后调用filewrite函数，该函数将具体内容写入磁盘上的一个XML文件。

结合目录遍历漏洞，访问写入到/vpns/路径下的恶意xml文件，在目标服务器上执行xml文件中插入的命令。

搭建Citrix漏洞环境，使用漏洞利用工具进行漏洞利用，效果如下：

目前受影响的Citrix版本：

Citrix ADC and Citrix Gateway  13.0 ；

Citrix ADC and NetScaler Gateway  11.1、12.0、12.1；

Citrix NetScaler ADC and NetScaler Gateway  10.5  

目前该公司已发布了一套针对独立系统和集群的防御措施，强烈建议受到影响的客户尽快部署，并时刻关注Citrix官网最新软件更新。

官网地址：https://www.citrix.com/

【深信服下一代防火墙】可轻松防御此漏洞， 建议部署深信服下一代防火墙的用户更新至最新的安全防护规则，可轻松抵御此高危风险。

【深信服云盾】已第一时间从云端自动更新防护规则，云盾用户无需操作，即可轻松、快速防御此高危风险。

【深信服安全感知平台】可检测利用该漏洞的攻击，实时告警，并可联动【深信服下一代防火墙等产品】实现对攻击者ip的封堵。

【深信服安全运营服务】深信服云端安全专家提供7*24小时持续的安全运营服务。在漏洞爆发之初，云端安全专家即对客户的网络环境进行漏洞扫描，保障第一时间检查客户的主机是否存在此漏洞。对存在漏洞的用户，检查并更新了客户防护设备的策略，确保客户防护设备可以防御此漏洞风险。

【深信服安全云眼】在漏洞爆发之初，已完成检测更新，对所有用户网站探测，保障用户安全。不清楚自身业务是否存在漏洞的用户，可注册信服云眼账号，获取30天免费安全体验。

注册地址：http://saas.sangfor.com.cn

【深信服云镜】在漏洞爆发第一时间即完成检测能力的发布，部署了云镜的用户可以通过升级来快速检测网络中是否受该高危风险影响，避免被攻击者利用。离线使用云镜的用户需要下载离线更新包来获得漏洞检测能力，可以连接云端升级的用户可自动获得漏洞检测能力。