Trusted Design

解説:

CVE-2019-19781は、Citrix製品に存在する深刻な脆弱性であり、認証されていない遠隔の攻撃者による任意のコード実行を可能にします。この脆弱性は、発見から間もなくして悪用が確認され、多くの組織に影響を与えました。

1. 脆弱性の概要

Citrix Application Delivery Controller (ADC) および Citrix Gateway に存在するディレクトリトラバーサルの脆弱性です。認証されていない攻撃者がリモートからこの脆弱性を悪用し、影響を受けるシステムで任意のコードを実行する可能性があります。

1.1 影響 この脆弱性が悪用された場合、以下の影響が考えられます。 * 遠隔からの任意のコード実行 (RCE) * データの改ざんや流出 * システム設定ファイル（例: /etc/passwd）などの機密情報の読み取り * 内部ネットワークへの侵入

1.2 深刻度 CVSS v3.1スコアは9.8 (Critical)と評価されており、非常に深刻な脆弱性です。

2. 対象となる環境

以下のCitrix製品およびバージョンが影響を受けます。

• Citrix Application Delivery Controller (ADC) (旧称: NetScaler ADC)
• Citrix Gateway (旧称: NetScaler Gateway)
• Citrix SD-WAN WANOP (ソフトウェアおよびアプライアンスモデル 4000, 4100, 5000, 5100)

2.1 影響を受けるOSバージョン OSバージョンに依存するのではなく、以下の製品バージョンが影響を受けます。 * Citrix ADC および Citrix Gateway version 13.0 (ビルド 13.0.47.24より前のすべてのサポート対象ビルド) * Citrix ADC および NetScaler Gateway version 12.1 (ビルド 12.1.55.18より前のすべてのサポート対象ビルド) * Citrix ADC および NetScaler Gateway version 12.0 (ビルド 12.0.63.13より前のすべてのサポート対象ビルド) * Citrix ADC および NetScaler Gateway version 11.1 (ビルド 11.1.63.15より前のすべてのサポート対象ビルド) * Citrix NetScaler ADC および NetScaler Gateway version 10.5 (ビルド 10.5.70.12より前のすべてのサポート対象ビルド) * Citrix SD-WAN WANOP ソフトウェアおよびアプライアンスモデル 4000, 4100, 5000, 5100

2.2 影響を受ける設定 この脆弱性は、製品の特定のバージョンに内在するものであり、特定の「設定」に依存するものではありません。ただし、インターネットからアクセス可能な状態で展開されている場合、悪用のリスクが高まります。

3. 影響を受けた時の兆候

システムが侵害された可能性がある場合の兆候は以下の通りです。

• httpaccess.log や httperror.log などのHTTPアクセスログに、不審なIPアドレスからのアクセスや、"/vpns/" および "/../" を含むリクエストの存在。また、特定のURI (*/../vpns/*, */vpns/cfg/smb.conf, */vpns/portal/scripts/newbm.pl*, */vpns/portal/scripts/rmbm.pl*, */vpns/portal/scripts/picktheme.pl*) へのアクセスも兆候となります。
• /netscaler/portal/templates、/var/tmp/netscaler/portal/templates、/netscaler/portal/scripts、/var/vpn、/var/vpns などのディレクトリに不審なファイルが存在する。
• /etc/crontab に不審な変更がある。
• CitrixおよびFireEye Mandiantが提供するIOC (Indicator of Compromise) スキャンツールやCISAが提供するテストツールを利用して、脆弱性や侵害の有無を確認できます。

4. 推奨対策

4.1 本対策 * Citrixが提供する公式のセキュリティパッチ（ファームウェアアップデート）を適用してください。パッチは2020年1月以降、順次リリースされました。 * 最新の修正済みバージョンへアップグレードすることを強く推奨します。

4.2 暫定回避策（緩和策） 恒久対策が適用されるまでの間、以下の暫定回避策を検討してください。

• Citrixが公開している設定変更手順（Responderポリシーの適用）を実施し、特定のパターンを含むリクエストをブロックする設定を行ってください。
  • Citrix ADC version 12.1の特定のビルド（51.16, 51.19, 50.31より前のビルド）では、緩和策の適用に不具合があるため、適切な緩和策を適用する前に、影響を受けないビルドに更新することを推奨します。
• ファイアウォールなどを用いて、不要な通信を制限してください。
• 直ちに対策が困難な場合は、システムを停止することも検討してください。

他に解説すべき観点

• この脆弱性は、公開された当初はゼロデイ脆弱性であり、攻撃コードがすぐに公開され、悪用された攻撃が活発に観測されました。
• 2020年には、REvil、Maze、Ryukといったランサムウェア攻撃でこの脆弱性が悪用されたことが報告されています。

---

参照したサイト * LAC WATCH: 追記【注意喚起】Citrix社ネットワーク製品の深刻なゼロデイ脆弱性(CVE-2019-19781)での攻撃を確認、今すぐ対策を * Citrix: Update on CVE-2019-19781: Fixes now available for Citrix SD-WAN WANOP * Citrix Support: Mitigation Steps for CVE-2019-19781 * LAC WATCH: 2020年 ランサムウェア攻撃で悪用された脆弱性 TOP４ * Security NEXT: 脆弱な「Citrix ADC」の探索行為が観測される - 高まる悪用リスク * JPCERT/CC: 複数の Citrix 製品の脆弱性 (CVE-2019-19781) に関する注意喚起 * CISA: Detecting Citrix CVE-2019-19781 * アセンテック: Citrix ADC 脆弱性情報 CVE-2019-19781について * CISA: MITIGATE CVE-2019-19781: CRITICAL VULNERABILITY IN CITRIX APPLICATION DELIVERY CONTROLLER (ADC) AND CITRIX GATEWAY * IPA: 更新：Citrix ADC および Citrix Gateway における任意のコード実行の脆弱性（CVE-2019-19781）について * WatchGuard Technologies: 緊急に対処すべき Citrix ADC と Gateway の脆弱性 * piyolog: 既に攻撃発生中で緊急対応レベルなCitrix製品の脆弱性CVE-2019-19781についてまとめてみた * SIDfm: 脆弱性管理という文脈における「ソフトウェア製品の把握」の難しさ * CVE Record: CVE-2019-19781 * INTERNET Watch: 「Citrix ADC」「Citrix Gateway」に任意コードが実行可能な脆弱性 * Palo Alto Networks Unit 42: Exploits in the Wild for Citrix ADC and Citrix Gateway Directory Traversal Vulnerability CVE-2019-19781 * ScanNetSecurity: Citrixの一部ネットワーク製品にある深刻なゼロデイ脆弱性での攻撃を確認、緊急の対策が必要 * 安全KER: CVE-2019-19781：深入分析Citrix ADC RCE漏洞 * Impress Watch: Citrixプロダクトに重大な脆弱性、チェックツール登場 - すぐに確認を * Kitploit: CVE-2019-19781-Checker * ScanNetSecurity: 「Citrix ADC」および「Citrix Gateway」に任意コード実行の脆弱性（JVN）