CVE-2023-6549
Citrix NetScaler ADC and NetScaler Gateway Buffer Overflow Vulnerability
Beschreibung
CVE-2023-6549 ist eine hochgradige Schwachstelle in Citrix NetScaler ADC (Application Delivery Controller) und NetScaler Gateway, die auf einer unsachgemäßen Speicherpufferbehandlung basiert. Die Schwachstelle ermöglicht nicht authentifizierten Angreifern aus dem Netzwerk, einen Denial-of-Service (DoS) zu verursachen sowie außerhalb der Grenzen liegenden Speicher zu lesen (Out-of-Bounds Memory Read). Der CVSS-Score beträgt 8.2 (HOCH). Besonders kritisch ist, dass keinerlei Authentifizierung oder Benutzerinteraktion erforderlich ist. CVE-2023-6549 ist im CISA KEV-Katalog gelistet und wurde zusammen mit der verwandten Schwachstelle CVE-2023-6548 im Januar 2024 bekannt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| citrix | netscaler application delivery controller | >= 12.1, < 12.1-55.302; >= 13.0, < 13.0-92.21; >= 13.1, < 13.1-37.176; >= 13.1, < 13.1-51.15; >= 14.1, < 14.1-12.35 |
| citrix | netscaler gateway | >= 13.0, < 13.0-92.21; >= 13.1, < 13.1-51.15; >= 14.1, < 14.1-12.35 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Referenzen
Schwachstellentyp
CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer
Die zugrunde liegende Schwachstellenklasse ist CWE-119 (Improper Restriction of Operations within the Bounds of a Memory Buffer). Dieser Schwachstellentyp tritt auf, wenn eine Software Lese- oder Schreiboperationen an Speicherpositionen durchführt, die außerhalb der vorgesehenen Grenzen eines Puffers liegen.
Technischer Kontext: In NetScaler ADC und NetScaler Gateway führt diese Schwachstelle zu zwei kombinierten Effekten: Zum einen können Angreifer durch den unbegrenzten Speicherzugriff vertrauliche Informationen aus dem Arbeitsspeicher des Geräts auslesen (Out-of-Bounds Read). Zum anderen kann die fehlerhafte Speicherbehandlung dazu genutzt werden, die Verfügbarkeit des Systems zu beeinträchtigen (Denial of Service), indem der Dienst zum Absturz gebracht oder in einen nicht funktionsfähigen Zustand versetzt wird.
Risiko: Buffer-Management-Schwachstellen dieser Art sind in Netzwerkgeräten besonders kritisch, da sie häufig von Massenangreifern ausgenutzt werden und bei Netzwerk-Appliances wie ADC-Systemen direkte Auswirkungen auf die Erreichbarkeit kritischer Dienste haben.
Auswirkungsanalyse
Verfügbarkeit (HOCH): Die primäre Auswirkung von CVE-2023-6549 ist ein Denial of Service. Angreifer können den NetScaler ADC oder das NetScaler Gateway ohne Authentifizierung zum Absturz bringen oder dauerhaft unverfügbar machen, was den gesamten Netzwerkverkehr und Benutzerzugang unterbricht, der über diese Systeme läuft.
Vertraulichkeit (KEINE): Obwohl ein Out-of-Bounds-Memory-Read technisch möglich ist, bewertet NVD die Vertraulichkeitsauswirkung als KEINE, da primär die Verfügbarkeit im Vordergrund steht.
Integrität (NIEDRIG): Eine begrenzte Integritätsauswirkung ist möglich, wurde aber als gering eingestuft.
Betriebliche Auswirkungen: NetScaler ADC und Gateway sind kritische Netzwerkinfrastrukturkomponenten in Unternehmensumgebungen. Ein Ausfall dieser Systeme kann den Zugriff auf interne Anwendungen, Remote-Access-Dienste und kritische Geschäftsprozesse vollständig unterbinden. In Kombination mit CVE-2023-6548 (Code Injection auf demselben Produkt) erhöht sich das Gesamtrisiko für betroffene Umgebungen erheblich.
Exploit-Reifegrad
Aktive Ausnutzung bestätigt: CVE-2023-6549 ist im CISA KEV-Katalog als aktiv ausgenutzt gelistet. Der EPSS-Score von 0.786 (99. Perzentile) spiegelt eine sehr hohe Wahrscheinlichkeit aktiver Ausnutzungsversuche wider.
Angriffsprofil: Die Schwachstelle hat ein sehr niedriges Angriffsprofil: kein Authentifizierungsbedarf, keine Benutzerinteraktion, niedrige Angriffskomplexität und direkter Netzwerkzugriff. Dies macht die Schwachstelle besonders attraktiv für automatisierte Massenangriffe und Scanning-Kampagnen.
Kombiniertes Risiko mit CVE-2023-6548: CVE-2023-6549 wurde zusammen mit CVE-2023-6548 (Authenticated Code Injection) im selben Sicherheitsbulletin von Citrix bekanntgegeben. Diese Kombination ist gefährlich: CVE-2023-6549 kann zur Aufklärung oder Destabilisierung genutzt werden, während CVE-2023-6548 die Code-Ausführung ermöglicht.
CISA-Frist: Die Abhilfefrist für US-Bundesbehörden war der 7. Februar 2024.
Behebung
- Sicherheitspatch installieren: Installieren Sie die von Citrix bereitgestellten Sicherheitsupdates für NetScaler ADC und NetScaler Gateway gemäß dem Sicherheitsbulletin CTX584986 (https://support.citrix.com/article/CTX584986).
- Betroffene Konfigurationen identifizieren: Prüfen Sie, ob Ihr NetScaler ADC oder Gateway als Gateway (VPN, ICA Proxy, CVPN, RDP Proxy) oder als AAA-Virtual-Server konfiguriert ist, da diese Konfigurationen besonders gefährdet sind.
- Netzwerksegmentierung: Schränken Sie den Zugriff auf das Management-Interface und die betroffenen Dienste auf vertrauenswürdige Netzwerke und IP-Adressen ein. Vermeiden Sie eine direkte Exposition des Geräts gegenüber dem Internet.
- CVE-2023-6548 gemeinsam adressieren: Da beide Schwachstellen im selben Sicherheitsbulletin adressiert werden, stellen Sie sicher, dass der Patch auch CVE-2023-6548 abdeckt.
- Monitoring aktivieren: Überwachen Sie Systemlogs und Netzwerkdatenverkehr auf Anzeichen einer Ausnutzung, insbesondere ungewöhnliche Anfragen und Dienst-Abstürze.
- Vendor-Advisory befolgen: Folgen Sie den aktuellen Empfehlungen im Citrix-Sicherheitsbulletin und prüfen Sie regelmäßig auf neue Aktualisierungen.
Technische Details
Betroffene Produkte: Citrix NetScaler ADC und NetScaler Gateway in mehreren Versionen. Die Schwachstelle ist auf bestimmte Konfigurationen beschränkt, bei denen das Gerät als Gateway oder AAA-Virtual-Server konfiguriert ist.
Schwachstellentyp: Unsachgemäße Beschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers (CWE-119) führt zu einem Out-of-Bounds-Memory-Read und Denial of Service. Der Fehler liegt in der Verarbeitung von Netzwerkpaketen ohne vorherige Authentifizierung.
CVSS:3.1-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H — Score 8.2 (HOCH)
Verwandte Schwachstelle: CVE-2023-6549 wurde zusammen mit CVE-2023-6548 (Improper Control of Code Generation / Code Injection, CVSS 5.5) im Citrix-Sicherheitsbulletin CTX584986 veröffentlicht. Beide Schwachstellen betreffen dieselben Produkte und wurden gleichzeitig gepatcht.
EPSS: EPSS-Score 0.786, 99.01. Perzentile — deutlich über dem Durchschnitt, was auf erhebliche Ausnutzungsaktivität hindeutet.
Häufig gestellte Fragen
Wird CVE-2023-6549 aktiv ausgenutzt?
Ja. CVE-2023-6549 ist im CISA KEV-Katalog gelistet und wird aktiv in freier Wildbahn ausgenutzt. Der sehr hohe EPSS-Score von 0.786 (99. Perzentile) bestätigt erhebliche Ausnutzungsaktivität. Betroffene Systeme sollten umgehend gepatcht werden.
Welche Produkte sind von CVE-2023-6549 betroffen?
Betroffen sind Citrix NetScaler ADC (Application Delivery Controller) und Citrix NetScaler Gateway. Besonders gefährdete Konfigurationen sind solche, bei denen das Gerät als Gateway (VPN Virtual Server, ICA Proxy, CVPN, RDP Proxy) oder als AAA-Virtual-Server eingerichtet ist. Die genauen betroffenen Versionen sind dem Citrix-Sicherheitsbulletin CTX584986 zu entnehmen.
Wie behebe ich CVE-2023-6549?
Installieren Sie die von Citrix bereitgestellten Sicherheitspatches gemäß Sicherheitsbulletin CTX584986. Schränken Sie den Netzwerkzugriff auf das betroffene Gerät auf vertrauenswürdige Quellen ein. Stellen Sie zugleich sicher, dass auch CVE-2023-6548 adressiert wird, da beide Schwachstellen im selben Bulletin behandelt werden.
Wie schwerwiegend ist CVE-2023-6549?
CVE-2023-6549 ist mit einem CVSS-Score von 8.2 als HOCH eingestuft. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern aus dem Netzwerk, einen Denial-of-Service zu verursachen und potenziell Speicher auszulesen. Da NetScaler ADC und Gateway kritische Netzwerkinfrastruktur darstellen, kann ein Ausfall schwerwiegende betriebliche Folgen haben. Die aktive Ausnutzung im CISA KEV-Katalog macht sofortiges Handeln erforderlich.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.