Avisos 07 de August, 2012

Vulnerabilitats al connector Citrix Access Gateway per a Windows

S'han fet públics detalls de dues vulnerabilitats en el complement de navegador que s'instal • la als clients per accedir a entorns Citrix Access Gateway. Les vulnerabilitats permetrien a un atacant prendre el control d'una màquina client que accedís a una pàgina web maliciosa.

Impacte
Execució de codi des de remot.


Productes afectats
•    Citrix Access Gateway Plug-in for Windows version 9.3.49.5.
NOTA: altres versions també podrien veure afectades, però no han estat comprovades.


Solució
Actualment, el fabricant no ha publicat una actualització per solucionar les vulnerabilitats. Tanmateix, va ser informat pel descobridor de les vulnerabilitats amb antelació, i va declarar estar preparant un pegat. Es recomana revisar la pàgina web del fabricant.
Com a mesura de mitigació, es recomana revisar la configuració del navegador Internet Explorer, per limitar l'execució del control ActiveX als dominis de servidors Citrix confiables (veure Referències). En cas que no sigui imprescindible, es recomana desactivar el connector per complet.


Detall
Les dues vulnerabilitats publicades afecten el control ActiveX nsepacom (nsepa.exe) quan es processen respostes HTTP basades en la petició a través del mètode "StartEpa()", encara que el tipus concret de vulnerabilitat i el vector d'explotació és lleugerament diferent en cadascuna:
•    CVE-2011-2593: desbordament d'enter, en el tractament de respostes HTTP que continguin una capçalera "Content-Length" manipulada.
•    CVE-2011-2592: error de límits en el tractament de respostes HTTP amb una capçalera "CSEC" excessivament llarga.


Referències
•    Avís de seguretat del investigador original (CVE-2011-2593)
http://secunia.com/secunia_research/2012-26/
•    Avís de seguretat del investigador original (CVE-2011-2592)
http://secunia.com/secunia_research/2012-27/
•    Control d'execució d'ActiveX per a cada lloc
http://msdn.microsoft.com/es-es/library/dd433050(v=vs.85).aspx

Publicat a: Avisos
Tags: Citrix