CERT-FI haavoittuvuustiedote 163/2007

16.11.2007

Korjaus saatavilla Citrix Presentation Server -ohjelmistoon

Kohde:	- palvelimet ja palvelinsovellukset	Lisätietoja
Hyökkäystapa:	- ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - suojauksen ohittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys - ongelman rajoittaminen	Lisätietoja

Citrix Presentation Server -ohjelmistoja käytetään sovellusten etäkäytössä. Citrix Presentation Server -ohjelmistoihin on julkaistu korjaus (hotfix). Korjaus liittyy haavoittuvuuteen, jota hyväksikäyttämällä hyökkääjän saattaa olla mahdollista ohittaa järjestelmän suojauskäytäntöjä tai suorittaa Citrix Presentation Serverillä omia komentojaan. Haavoittuvuutta voi hyväksikäyttää houkuttelemalla käyttöoikeudet omaava käyttäjä muodostamaan ICA-yhteys Citrix Presentation Serveriin. Tämä voi tapahtua esimerkiksi houkuttelemalla käyttäjä avaamaan ICA-tiedosto tai ICA-selainlaajennuksen välityksellä houkuttelemalla käyttäjä vierailemaan www-sivulla. Julkaistun korjauksen asentaminen tekee haavoittuvuuden hyväksikäytöstä vaikeampaa. Haavoittuvuutta voi myös rajoittaa valmistajan ohjeessa esitetyin keinoin.

HAAVOITTUVAT OHJELMISTOT:

• Access Essentials 1.0
• Citrix Access Essentials 1.5
• Citrix Access Essentials 2.0
• Citrix MetaFrame Presentation Server 3.0 for Microsoft Windows 2000
• Citrix MetaFrame Presentation Server 3.0 for Microsoft Windows 2003
• Citrix Presentation Server 4.0 for Microsoft Windows 2000
• Citrix Presentation Server 4.0 for Microsoft Windows 2003
• Citrix Presentation Server 4.0 x64 Edition
• Citrix Presentation Server 4.5 for Windows Server 2003
• Citrix Presentation Server 4.5 for Windows Server 2003 Feature Pack 1
• Citrix Presentation Server 4.5 for Windows Server 2003 x64 Edition

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuvat ohjelmistot valmistajan tiedotteen mukaisesti. Lisätietoja haavoittuvuudesta on saatavilla valmistajan julkaisemasta tiedotteesta.

http://support.citrix.com/article/CTX115245

Kaikkiin haavoittuviin ohjelmistoihin ei ole vielä saatavilla hotfix-korjausta. Ongelmaa voi rajoittaa valmistajan tiedotteessa kuvatuilla tavoilla.

LISÄTIETOA:

http://secunia.com/advisories/27633/

http://www.frsirt.com/english/advisories/2007/3870

PÄIVITYSHISTORIA:

16.11.2007, kello 17.45: Julkaistu

Sivua päivitetty 16.11.2007

Tulostusversio