Citrix NetScaler漏洞将无法修补，直到1月底

Cloud和Virtualisation Technology供应商Citrix表示，在其NetScaler应用程序交付控制器（ADC）和网关产品中的严重漏洞将无法完全修补至1月底。

主要漏洞是由米哈伊尔克莱克诺克诺夫的积极技术发现，并在2019年圣诞节之前披露。漏洞提供攻击者能够从公共Internet从公共Internet进行任意直接访问组织的本地网络，而无需访问任何帐户。

积极的技术表示，它在159个国家确定了超过80,000个组织，其中有风险，包括许多英国。

糟糕数据包的进一步研究揭示了美国危险的近10,000名Citrix服务器，德国超过2,500人，英国约有2,000人，澳大利亚和瑞士超过1,100人。

一个坏数据包的研究员Troy Mursach在一个博客文章中表示，可以通过威胁演员对许多不同的目的来使用进一步利用这种脆弱性，包括扩散赎金软件和安装隐藏术语。也可以武器化多个受损服务器并转变为分布式拒绝服务（DDOS）攻击的组件。

其他安全研究人员透露，扫描活动目标易受攻击的Citrix服务器在过去几周内大大增加，尽管这不一定是妥协的证据。Tripwire的Craig Young揭示了他的扫描已经出现了超过140多个域，结束于.gov处于危险之中，超过350次含有.gov，主要在英国和澳大利亚。

在一个更新中，Citrix的Fermin Serna说：“我们立即启动了我们的安全响应过程，涉及其他行为，变体分析和缓解发展。由于漏洞泄漏的风险增加以及未协调披露的潜力，我们发表了一个安全咨询，具有详细的缓解。

“这些缓解涵盖了所有支持的版本，并包含详细的步骤，旨在阻止所有已知方案的潜在攻击。我们目前正在努力制定永久性修复。与这种性质的任何产品一样，并与我们的政策和程序一致，这些修复需要全面彻底地测试。“

Citrix现在预计为1月20日开始于1月20日开始的最新版本的产品提供了全面的补丁，为1月12日和13型和1月31日为10.5版。

“在Citrix，我们的产品，服务和企业环境的安全性至关重要。我们非常重视产品和服务漏洞，并致力于保护客户的大量资源，以保护我们的客户，采用强大的安全政策和程序，以确保我们有效地检测和响应漏洞和事件，并最大限度地减少其影响，“塞尔纳说。

Tripwire的年轻人敦促那些有风险的人来利用Citrix的缓解步骤。“令人震惊的是，许多组织目前在组织的如此敏感部分方面存在风险。他写道，这些设备中的每一个都是犯罪分子或间谍获取受限制网络和冒充授权用户的机会。“

积极技术的安全审计部门DMITRY SEREBRYANNICAVIC董事表示：“我们希望指出，供应商通过在发现脆弱性之后在几周内创建和发布一套风险缓解措施时，供应商迅速响应。从我们的经验来看，我们知道在许多情况下可能需要数月。“