Citrix NetScaler SD-WAN cihazlarında çerez üzerinden root yetkisiyle uzaktan komut çalıştırma

ÖzetTürkçe

Citrix NetScaler SD-WAN cihazlarının v9.1.2.26.561201 dahil önceki sürümlerinde, CGISESSID çerezi üzerinden gönderilen girdi yeterince doğrulanmadığı için kabuk komutlarının çalıştırılmasına izin veren bir açık bulunuyor. NetScaler SD-WAN'ın eski adı olan CloudBridge cihazlarında aynı çerez CAKEPHP adını taşıyor. Etkilenen ürünler arasında NetScaler SD-WAN Enterprise, CloudBridge Virtual WAN ve XenMobile Server yer alıyor. Açık CISA'nın bilinen istismar edilen açıklar (KEV) listesinde yer alıyor ve bu açık için herkese açık istismar kodu bulunuyor.

Saldırgan ne yapabilir?

Kimlik doğrulaması olmayan uzak bir saldırgan, cihaz üzerinde root yetkisiyle rastgele kabuk komutları çalıştırarak cihazın tam kontrolünü ele geçirebilir. Bu durum veri gizliliğinin, bütünlüğünün ve hizmet sürekliliğinin kaybına yol açar.

Ne yapmalı?

1. Citrix'in yayımladığı güvenlik güncellemelerini NetScaler SD-WAN, CloudBridge Virtual WAN ve XenMobile Server cihazlarınıza üretici talimatlarına göre uygulayın. Genel öneri
2. CISA'nın gerekli işlem tanımı doğrultusunda güncellemeleri üretici yönergelerine uygun biçimde uygulayın. CISA
3. Güncelleme hemen yapılamıyorsa cihazların yönetim arayüzüne erişimi internetten kaldırın ve yalnızca güvenilir yönetim ağlarından erişime izin verin. Genel öneri
4. Güncelleme sonrasında cihazlarda olağan dışı komut çalıştırma, yeni hesap veya yapılandırma değişikliği izlerini kontrol edin. Genel öneri

Ek önlemler

• Ağ cihazlarının yönetim arayüzlerini internete açmayın; erişimi VPN veya IP kısıtlamasıyla sınırlandırın. Genel öneri
• CGISESSID veya CAKEPHP çerezlerinde olağan dışı karakterler veya komut benzeri içerik içeren istekler için web ve ağ günlüklerini izleyin. Genel öneri
• Cihaz sürümlerinin envanterini tutun ve üretici güvenlik bültenlerini düzenli takip edin. Genel öneri
• Sistemin ele geçirilmiş olabileceğinden şüpheleniyorsanız cihaz kimlik bilgilerini ve ilgili anahtarları değiştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

Kaynaklar7 kaynak

• CVE.org kaydı
• NVD kaydı
• exploit-db.com/exploits/42345 İstismar kodu ya da analiz
• exploit-db.com/exploits/42346 İstismar kodu ya da analiz
• securitytracker.com/id/1039019 Diğer
• support.citrix.com/article/CTX225990 Diğer
• securityfocus.com/bid/99943 Diğer

Kayıt geçmişi

1. 25 Mar 2022CISA KEV listesine eklendi (saldırılarda kullanılıyor)
2. 20 Tem 2017 07:00Yayımlandı

İlgili açıklar

• 3,7 CVE-2026-21830HCL BigFix AEX is affected by multiple security vulnerabilities.
• 8,8 CVE-2026-118315Improper input validation in SVG in Google Chrome prior to 156.0.8078.73 allowed a remote attacker to potentially exe…
• 8,8 CVE-2026-118314Improper input validation in UI in Google Chrome on on Android prior to 156.0.8078.73 allowed a remote attacker to po…
• 8,8 CVE-2026-118335Improper input validation in Metrics in Google Chrome on on Mac prior to 156.0.8078.73 allowed a remote attacker to p…
• 8,8 CVE-2026-118304Improper input validation in SVG in Google Chrome prior to 156.0.8078.73 allowed a remote attacker to potentially exe…
• 8,8 CVE-2026-118343Improper input validation in ReadingList in Google Chrome prior to 156.0.8078.73 allowed a remote attacker to potenti…