certfr_alerte - certfr-2022-ale-013

CERTFR-2022-ALE-013

Vulnerability from certfr_alerte

Le 13 décembre 2022, Citrix a indiqué avoir connaissance d'une vulnérabilité de type jour-zéro (zero-day) affectant les produits Citrix ADC et Citrix Gateway. Cette vulnérabilité, immatriculée CVE-2022-27518, permet à un attaquant à distance et non authentifié d'exécuter du code arbitraire sur l'équipement.

L'exploitation de la vulnérabilité est uniquement possible si le produit Citrix est configuré en mode IdP SAML ou SP SAML. Il est possible de vérifier la configuration en inspectant le fichier ns.conf. Si les lignes add authentication samlAction ou add authentication samlIdPProfile sont présentes et que le produit est dans une version affectée, alors il doit être considéré comme vulnérable.

L'éditeur a connaissance d'exploitation de cette vulnérabilité sur des équipements non mis à jour. Le CERT-FR anticipe donc des exploitations en masse de la vulnérabilité CVE-2022-27518.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

DÉTECTION

L'application seule des correctifs n'est pas suffisante. En effet, si un attaquant a exploité la vulnérabilité avant leur application, il a pu déposer une porte dérobée qui lui permettra de se connecter ultérieurement au système.

Il est recommandé d'effectuer une analyse des systèmes notamment à l'aide des indicateurs de compromission [1]. Ces marqueurs préliminaires sont fournis à titre indicatif et ne sont pas exhaustifs.

Citrix ADC versions 13.x antérieures à 13.0-58.32
Citrix ADC toutes versions antérieures à 12.1-65.25
Citrix ADC versions 12.1-FIPS antérieures à 12.1-55.291
Citrix ADC versions 12.1-NDcPP antérieures à 12.1-55.291
Citrix Gateway versions 13.x antérieures à 13.0-58.32
Citrix Gateway toutes versions antérieures à 12.1-65.25

Tous les produits Citrix Gateway et Citrix ADC disposant d'une version antérieure à 12.1 sont en fin de vie (EoL) et ne bénéficieront donc pas de correctif pour cette vulnérabilité. L'éditeur recommande au client disposant d'une version antérieure à 12.1 de migrer vers une version encore maintenue.

Impacted products

	Vendor	Product	Description

References

Title

Publication Time

Tags

Bulletin de sécurité Citrix du 13 décembre 2022	None	vendor-advisory
[1] Indicateurs de compromission concernant la vulnérabilité CVE-2022-27518	-	other
Avis CERTFR-2022-AVI-1091 du 13 décembre 2022 https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-1091	-	other

Show details on source website

JSON

To clipboard

{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cul\u003e \u003cli\u003eCitrix ADC versions 13.x ant\u00e9rieures \u00e0 13.0-58.32\u003c/li\u003e \u003cli\u003eCitrix ADC toutes versions ant\u00e9rieures \u00e0 12.1-65.25\u003c/li\u003e \u003cli\u003eCitrix ADC versions 12.1-FIPS ant\u00e9rieures \u00e0 12.1-55.291\u003c/li\u003e \u003cli\u003eCitrix ADC versions 12.1-NDcPP ant\u00e9rieures \u00e0 12.1-55.291\u003c/li\u003e \u003cli\u003eCitrix Gateway versions 13.x ant\u00e9rieures \u00e0 13.0-58.32\u003c/li\u003e \u003cli\u003eCitrix Gateway toutes versions ant\u00e9rieures \u00e0 12.1-65.25\u003c/li\u003e \u003c/ul\u003e \u003cp\u003eTous les produits Citrix Gateway et Citrix ADC disposant d\u0027une version ant\u00e9rieure \u00e0 12.1 sont en fin de vie (EoL) et ne b\u00e9n\u00e9ficieront donc pas de correctif pour cette vuln\u00e9rabilit\u00e9. L\u0027\u00e9diteur recommande au client disposant d\u0027une version ant\u00e9rieure \u00e0 12.1 de migrer vers une version encore maintenue.\u003c/p\u003e ",
  "closed_at": "2023-03-14",
  "content": "## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n\n## D\u00c9TECTION\n\nL\u0027application seule des correctifs n\u0027est pas suffisante. En effet, si un\nattaquant a exploit\u00e9 la vuln\u00e9rabilit\u00e9 avant leur application, il a pu\nd\u00e9poser une porte d\u00e9rob\u00e9e qui lui permettra de se connecter\nult\u00e9rieurement au syst\u00e8me.\n\nIl est recommand\u00e9 d\u0027effectuer une analyse des syst\u00e8mes notamment \u00e0\nl\u0027aide des indicateurs de compromission \\[1\\]. Ces marqueurs\npr\u00e9liminaires sont fournis \u00e0 titre indicatif et ne sont pas exhaustifs.\n",
  "cves": [
    {
      "name": "CVE-2022-27518",
      "url": "https://www.cve.org/CVERecord?id=CVE-2022-27518"
    }
  ],
  "initial_release_date": "2022-12-13T00:00:00",
  "last_revision_date": "2023-03-14T00:00:00",
  "links": [
    {
      "title": "[1] Indicateurs de compromission concernant la vuln\u00e9rabilit\u00e9 CVE-2022-27518",
      "url": "https://media.defense.gov/2022/Dec/13/2003131586/-1/-1/0/CSA-APT5-CITRIXADC-V1.PDF"
    },
    {
      "title": "Avis CERTFR-2022-AVI-1091 du 13 d\u00e9cembre 2022 https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-1091",
      "url": "https://www.cert.ssi.gouv.fr/avis/CERTFR-2022-AVI-1091/"
    }
  ],
  "reference": "CERTFR-2022-ALE-013",
  "revisions": [
    {
      "description": "Version initiale",
      "revision_date": "2022-12-13T00:00:00.000000"
    },
    {
      "description": "Ajout d\u0027\u00e9l\u00e9ments de d\u00e9tection",
      "revision_date": "2022-12-15T00:00:00.000000"
    },
    {
      "description": "Cl\u00f4ture de l\u0027alerte. Cela ne signifie pas la fin d\u0027une menace. Seule l\u0027application de la mise \u00e0 jour permet de vous pr\u00e9munir contre l\u0027exploitation de la vuln\u00e9rabilit\u00e9 correspondante.",
      "revision_date": "2023-03-14T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
    }
  ],
  "summary": "Le 13 d\u00e9cembre 2022, Citrix a indiqu\u00e9 avoir connaissance d\u0027une\nvuln\u00e9rabilit\u00e9 de type jour-z\u00e9ro (*zero-day*) affectant les produits\nCitrix ADC et Citrix Gateway. Cette vuln\u00e9rabilit\u00e9, immatricul\u00e9e\nCVE-2022-27518, permet \u00e0 un attaquant \u00e0 distance et non authentifi\u00e9\nd\u0027ex\u00e9cuter du code arbitraire sur l\u0027\u00e9quipement.\n\nL\u0027exploitation de la vuln\u00e9rabilit\u00e9 est uniquement possible si le produit\nCitrix est configur\u00e9 en mode IdP SAML ou SP SAML. Il est possible de\nv\u00e9rifier la configuration en inspectant le fichier *ns.conf*. Si les\nlignes `add authentication samlAction` ou\n`add authentication samlIdPProfile` sont pr\u00e9sentes et que le produit est\ndans une version affect\u00e9e, alors il doit \u00eatre consid\u00e9r\u00e9 comme\nvuln\u00e9rable.\n\nL\u0027\u00e9diteur a connaissance d\u0027exploitation de cette vuln\u00e9rabilit\u00e9 sur des\n\u00e9quipements non mis \u00e0 jour. Le CERT-FR anticipe donc des exploitations\nen masse de la vuln\u00e9rabilit\u00e9 CVE-2022-27518.\n\n## \n",
  "title": "[M\u00e0J] Vuln\u00e9rabilit\u00e9 dans Citrix ADC et Gateway",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Citrix du 13 d\u00e9cembre 2022",
      "url": "https://support.citrix.com/article/CTX474995/citrix-adc-and-citrix-gateway-security-bulletin-for-cve202227518"
    }
  ]
}

CVE-2022-27518 (GCVE-0-2022-27518)

Vulnerability from cvelistv5

Published

2022-12-13 00:00

Modified

2025-10-21 23:15

Severity ?

9.8 (Critical) - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CWE

CWE-664 - Improper Control of a Resource Through its Lifetime

Summary

Unauthenticated remote arbitrary code execution

References

URL

Tags

https://support.citrix.com/article/CTX474995

Impacted products

	Vendor	Product	Version
	Citrix	Citrix Gateway, Citrix ADC	Version: 12.1 Version: 13.0 Version: 12.1 FIPs, NDcPP

Show details on NVD website

JSON

To clipboard

{
  "containers": {
    "adp": [
      {
        "providerMetadata": {
          "dateUpdated": "2024-08-03T05:32:59.829Z",
          "orgId": "af854a3a-2127-422b-91ae-364da2661108",
          "shortName": "CVE"
        },
        "references": [
          {
            "name": "https://support.citrix.com/article/CTX474995",
            "tags": [
              "x_transferred"
            ],
            "url": "https://support.citrix.com/article/CTX474995"
          }
        ],
        "title": "CVE Program Container"
      },
      {
        "metrics": [
          {
            "other": {
              "content": {
                "id": "CVE-2022-27518",
                "options": [
                  {
                    "Exploitation": "active"
                  },
                  {
                    "Automatable": "yes"
                  },
                  {
                    "Technical Impact": "total"
                  }
                ],
                "role": "CISA Coordinator",
                "timestamp": "2023-11-20T20:56:29.075511Z",
                "version": "2.0.3"
              },
              "type": "ssvc"
            }
          },
          {
            "other": {
              "content": {
                "dateAdded": "2022-12-13",
                "reference": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27518"
              },
              "type": "kev"
            }
          }
        ],
        "providerMetadata": {
          "dateUpdated": "2025-10-21T23:15:30.190Z",
          "orgId": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
          "shortName": "CISA-ADP"
        },
        "references": [
          {
            "tags": [
              "government-resource"
            ],
            "url": "https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-27518"
          }
        ],
        "timeline": [
          {
            "lang": "en",
            "time": "2022-12-13T00:00:00+00:00",
            "value": "CVE-2022-27518 added to CISA KEV"
          }
        ],
        "title": "CISA ADP Vulnrichment"
      }
    ],
    "cna": {
      "affected": [
        {
          "defaultStatus": "unaffected",
          "product": "Citrix Gateway, Citrix ADC ",
          "vendor": "Citrix",
          "versions": [
            {
              "status": "affected",
              "version": "12.1"
            },
            {
              "status": "affected",
              "version": "13.0"
            },
            {
              "status": "affected",
              "version": "12.1 FIPs, NDcPP"
            }
          ]
        }
      ],
      "descriptions": [
        {
          "lang": "en",
          "supportingMedia": [
            {
              "base64": false,
              "type": "text/html",
              "value": "\u003cspan style=\"background-color: rgb(255, 255, 255);\"\u003eUnauthenticated remote arbitrary code execution\u003c/span\u003e\u003cbr\u003e"
            }
          ],
          "value": "Unauthenticated remote arbitrary code execution\n"
        }
      ],
      "impacts": [
        {
          "capecId": "CAPEC-253",
          "descriptions": [
            {
              "lang": "en",
              "value": "CAPEC-253 Remote Code Inclusion"
            }
          ]
        }
      ],
      "metrics": [
        {
          "cvssV3_1": {
            "attackComplexity": "LOW",
            "attackVector": "NETWORK",
            "availabilityImpact": "HIGH",
            "baseScore": 9.8,
            "baseSeverity": "CRITICAL",
            "confidentialityImpact": "HIGH",
            "integrityImpact": "HIGH",
            "privilegesRequired": "NONE",
            "scope": "UNCHANGED",
            "userInteraction": "NONE",
            "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
            "version": "3.1"
          },
          "format": "CVSS",
          "scenarios": [
            {
              "lang": "en",
              "value": "GENERAL"
            }
          ]
        }
      ],
      "problemTypes": [
        {
          "descriptions": [
            {
              "cweId": "CWE-664",
              "description": "CWE-664: Improper Control of a Resource Through its Lifetime ",
              "lang": "en",
              "type": "CWE"
            }
          ]
        }
      ],
      "providerMetadata": {
        "dateUpdated": "2023-10-18T17:34:17.110Z",
        "orgId": "e437aed5-38e0-4fa3-a98b-cb73e7acaec6",
        "shortName": "Citrix"
      },
      "references": [
        {
          "name": "https://support.citrix.com/article/CTX474995",
          "url": "https://support.citrix.com/article/CTX474995"
        }
      ],
      "source": {
        "discovery": "UNKNOWN"
      },
      "title": "Unauthenticated remote arbitrary code execution",
      "x_generator": {
        "engine": "Vulnogram 0.1.0-dev"
      }
    }
  },
  "cveMetadata": {
    "assignerOrgId": "e437aed5-38e0-4fa3-a98b-cb73e7acaec6",
    "assignerShortName": "Citrix",
    "cveId": "CVE-2022-27518",
    "datePublished": "2022-12-13T00:00:00.000Z",
    "dateReserved": "2022-03-21T00:00:00.000Z",
    "dateUpdated": "2025-10-21T23:15:30.190Z",
    "serial": 1,
    "state": "PUBLISHED"
  },
  "dataType": "CVE_RECORD",
  "dataVersion": "5.1"
}

Sightings

Author	Source	Type	Date

Nomenclature

Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
Confirmed: The vulnerability is confirmed from an analyst perspective.
Published Proof of Concept: A public proof of concept is available for this vulnerability.
Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
Patched: This vulnerability was successfully patched by the user reporting the sighting.
Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
Not confirmed: The user expresses doubt about the veracity of the vulnerability.
Not patched: This vulnerability was not successfully patched by the user reporting the sighting.

Action not permitted

CERTFR-2022-ALE-013

Vulnerability from certfr_alerte

Solution

DÉTECTION

CVE-2022-27518 (GCVE-0-2022-27518)

Vulnerability from cvelistv5

Tags

Sightings

Nomenclature