安全研究人员发布了两个思杰严重漏洞的利用

对于最近思杰 (Citrix) 曝出的两个超级漏洞——Citrix Application Delivery Controller (ADC) 和 Citrix Gateway 产品中的远程利用漏洞，尚未应用漏洞缓解措施的企业要抓紧了。

两组独立的研究人员已在 GitHub 上发布了针对该漏洞的概念验证漏洞利用代码 (CVE-2019-19781)。其中一个漏洞利用——Project Zero India 由印度团队发现，另一种利用——Citrixmash 的发现团队来自安全咨询公司 TrustedSec。

TrustedSec安全顾问David Kennedy 在博客文章中说：

TrustedSec 可以确认我们已经拥有 100％ 可以正常工作的远程代码执行漏洞，可以通过未经身份验证的方式直接攻击任何 Citrix ADC 服务器。

他说，具有易受攻击系统的组织应立即采取措施缓解该漏洞，因为攻击者正在积极扫描要攻击的系统。

截至目前，思杰尚未发布该漏洞的补丁。安全研究人员称此漏洞特别危险，因为它允许未经身份验证的远程攻击者在易受攻击的系统上运行任意利用代码。

Citrix 产品广泛用于企业网络中的许多任务，包括从任何设备远程访问内部系统，这加剧了人们的担忧。

另一个加剧担忧的因素是，该漏洞被认为非常容易利用。TrustedSec 表示，它只是基于 Citrix 解决方案中的已有信息来开发其利用程序。

思杰目前能提供的仅有漏洞缓解建议：

敦促企业对其ADC和网关系统（以前称为 Netscaler ADC 和 Netscaler 网关）进行某些配置更改，以降低遭受攻击的风险。

预计要到 1 月 20 日左右，Citrix 才会提供设备固件的补丁程序。

美国国土安全部 (DHS) 的网络安全和基础设施安全局 (CISA) 周一发布了一个实用程序 （https://github.com/cisagov/check-cve-2019-19781） ，能帮助企业快速测试其 Citrix ADC 和 Citrix Gateway 软件是否易受 CVE-2019-19781 漏洞的影响。