思杰Citrix出现严重漏洞 攻击者借助漏洞可远程绕过身份验证

知名企业软件开发商思杰旗下部分产品日前被安全专家发现存在严重漏洞，攻击者借助漏洞可远程绕过身份验证。安全专家表示该漏洞至少影响全球158个国家和地区的80000 家企业，因此这枚安全漏洞的潜在安全影响非常大。此次出现严重安全漏洞的是思杰旗下的热门软件应用交付控制器(ADC)以及用于跨应用单点登录的思杰网关系统。

绕过身份验证和远程执行代码：

发现这枚漏洞的安全专家表示攻击者借助漏洞可以绕过身份验证系统，然后直接访问企业内部网络窃取任何信息。如果应用交付控制器被部署连接其他服务例如ERP等 ，则攻击者同样可以借助这枚漏洞直接访问企业的ERP系统。具体受影响的应用取决于思杰的应用交付控制器被部署的位置，而多数企业可能都会将思杰控制器作为关键设施。因此受影响的应用可能更多同时对企业造成的安全问题也更大，同时攻击者还可用来执行任意代码造成更多威胁。目前该漏洞已经分配编号为CVE-2019-19781，不过更多信息暂时无法透露需要等待思杰完整修复这枚漏洞才行。

暂时只能缓解无法修复：

思杰在接到安全专家的反馈后已经确认漏洞的存在，并且思杰在公告中也承认这枚安全漏洞带来的危害非常巨大。但思杰暂时还没有发布新版本固件对这枚漏洞进行修复，现阶段企业管理员只可借助缓解方案对漏洞进行防御等。也正是因为漏洞危害较大思杰在公告中表示所有企业都应该部署缓解措施，防止在漏洞修复前就遭到黑客的攻击。安全专家表示考虑到思杰软件已经广泛部署在企业内网，漏洞危害较高因此也建议所有管理员采取措施进行缓解。

受影响的思杰软件包括如下：

Citrix Application Delivery Controller(应用交付控制器)和Citrix Gateway(思杰网关) v13.0 及所有受支持版本。

Citrix Application Delivery Controller(应用交付控制器)和Citrix Gateway(思杰网关) v12.1 及所有受支持版本。

Citrix Application Delivery Controller(应用交付控制器)和Citrix Gateway(思杰网关) v12.0 及所有受支持版本。

Citrix Application Delivery Controller(应用交付控制器)和Citrix Gateway(思杰网关) v11.1 及所有受支持版本。

Citrix Application Delivery Controller(应用交付控制器)和Citrix Gateway(思杰网关) v10.5 及所有受支持版本。