Difetti di sicurezza Citrix

3

Esistono problemi di sicurezza associati all'uso di Citrix XenApp 6.5, Citrix Storefront e Citrix Receiver come strumento di accesso remoto?

I.e, lo so che usa% cip_de% e RC4-MD5 cipher, che sono considerati come una cifra debole.

Qualche altra pecca?

    
posta KimberleyK 26.06.2015 - 02:06
fonte

2 risposte

4

Ci sono molte vulnerabilità, CVE o meno, in tutti i prodotti Citrix - link - ma in particolare mi rivolgo a ciascuno con strumenti come Burp Suite Professional (copiando o modificando le intestazioni HTTP in modo appropriato, come la riproduzione di un'intestazione User-Agent), oppure, se Windows, si vorrà utilizzare uno strumento come FuzzLabs - link - forse insieme a un debugger o un monitor dei guasti, come Immunity Debugger. Il libro, "Windows Stack Exploitation", approfondisce con quest'ultimo. Ci sono anche cinque script Nmap NSE intelligenti: citrix-brute-xml, citrix-enum-servers, citrix-enum-servers-xml, citrix-enum-apps e citrix-enum-apps-xml e un grande contributo di terze parti Script NSE: vulscan.

Yokoso ha le impronte digitali per alcuni servizi Citrix - link - Queste firme sono probabilmente incluse nello script NSE http-enum NSE .

metasploit-framework ha:

use .*citrix_stream <tab>, <tab> <tab> (for port 6905)
use .*citrix_access <tab> (for port 443 in a Citrix environment)
use .*citrix_pub <tab>, <tab> <tab> (for port 1604)

Nessus ha:

exploit-db ha:

Alcuni dei lavori migliori che ho visto sono i lavori seminali di luglio 2009 e luglio 2008 di InsomniaSec (Brett Moore, et al) - link - controlla i prezos "Heaps about Heaps" e "Hacking Citrix".

    
risposta data 22.09.2015 - 16:58
fonte
0

Citrix XenApp aveva una serie di vulnerabilità che sono state aggiornate. Questi sono elencati in elenco CVE Citrix XenApp . Inoltre, sono stati rilasciati gli ultimi aggiornamenti per correggere le vulnerabilità della sicurezza come HeartBleed. Citrix offre Security Bulletins che è utile per tenersi aggiornato con le ultime patch di sicurezza.

    
risposta data 22.09.2015 - 15:02
fonte

Leggi altre domande sui tag