CTX-Blog

Eine Sicherheitslücke im Citrix Presentation Server Session Reliability Service ist kürzlich entdeckt worden. Durch eine präparierte Anfrage an den XTE Service kann ein Angreifer TCP Sitzungen zu jedem lokalen Port der betroffenen Maschine aufbauen. Dadurch können Sicherheits Policies umgangen werden und lokale Ports trotz Firewall von Remote angesprochen werden.

Für folgende Produkte ist der Fehler bestätigt und sind HotFixes verfügbar:

• Citrix MetaFrame Presentation Server 3.0

• Citrix MetaFrame Presentation Server 4.0

• Citrix Access Essentials 1.0

• Citrix Access Essentials 1.5

Andere Versionen von Citrix Presentation Server, Citrix Access Essentials oder Citrix Desktop Server sind von dieser Sicherheitslücke nicht betroffen.

Wird Session Reliability nicht verwendet, besteht keine Gefahr für die Sicherheit des Presentation Servers.

Citrix stellt hier (CTX112964) HotFixes in allen Sprachen bereit.

Gruss
Ecki

A security flaw in the Citrix Presentation Server Session Reliability service has been found recently. The Session Reliability service is used by some Citrix products to improve user experience when connecting over unreliable networks. By sending a specifically crafted request to this service, an attacker could establish a TCP connection to any port on the local machine. This could be used by the attacker to bypass network security policies and remotely access local ports on the target machine.

This vulnerability is present in the following versions of Citrix products:

• Citrix MetaFrame Presentation Server 3.0

• Citrix MetaFrame Presentation Server 4.0

• Citrix Access Essentials 1.0

• Citrix Access Essentials 1.5

No other versions of Citrix Presentation Server, Citrix Access Essentials or Citrix Desktop Server are affected by this issue.

Customers running an affected product with the Session Reliability feature disabled are not affected by this issue.

Downloads for all languages are available here (CTX112964).

Regards
Ecki

In der Nacht vom 18. auf den 19. April wurde von Citrix Version 4.5.2 des Citrix Access Gateway (Standard und Advanced) zum Download freigegeben. Es beinhaltet neben einigen speziellen Fehlerbereinigungen, auch solche, die sich im tägliche Leben manifestieren.

Der IMHO Wichtigste behebt ein Problem, bei dem der Secure Access Client, wenn er von seinem Desktop Icon aus gestartet wurde, sehr lange in der Startleist “Shutting Down” anzeigte, bevor er dann den Browser zur Authentifizierung startete.

Weitere spürbare Verbesserungen sind:

• Downloads grösser 512 MB funktionieren jetzt über das CAG
• Damit der EPA Scan funktionierte, musste die Website im IE unter “Trusted Sites” konfiguriert sein
• Der Upload eines fehlerhaften Zertifikates machte bei vorangegangenen Versionen eine komplette Neuinstallation notwendig

Dazu kommen eine ganze Reihe weitere Fixes, die jedoch nur in speziellen Situationen hilfreich sind und daher hier nicht aufgeführt wurden. Alle gelösten Probleme und der Download finden sich hier.

Gruss
Ecki

April 18. Citrix released Citrix Access Gateway (Standard and Advanced) v4.5.2. This update comprises a couple of interesting fixes. Beside others, the main improvements are IMHO the fixes of the following issues:

• When the Secure Access Client is started from the desktop icon, the taskbar button displays “Shutting Down,” and the portal page is not displayed for a significant amount of time
• Downloading files larger than 512 megabytes through the Access Gateway fail
• When users attempt to log on using the Endpoint Analysis Client, they cannot log on if the Web site is not trusted
• The Access Gateway fails when an invalid certificate is installed using the Administration Portal

A complete list of fixes and the download can be found here.

Regards
Ecki