Privilege Escalation in NetScaler Console und Agent (CVE-2024-12284)

Citrix hat in einem aktuellen Sicherheitsbulletin auf eine kritische Schwachstelle in der NetScaler Console (ehemals NetScaler ADM) sowie im NetScaler Agent hingewiesen. Die betroffenen Versionen sind:

  • NetScaler Console 14.1 vor 14.1-38.53
  • NetScaler Console 13.1 vor 13.1-56.18
  • NetScaler Agent 14.1 vor 14.1-38.53
  • NetScaler Agent 13.1 vor 13.1-56.18

Die Sicherheitslücke (CVE-2024-12284) ermöglicht einem authentifizierten Angreifer, sich über fehlerhafte Privilegienverwaltung (CWE-269) höhere Rechte zu verschaffen. Mit einem CVSS v4.0 Basis-Score von 8.8 wird das Risiko als hoch eingestuft – vorausgesetzt, der NetScaler Console Agent ist im Einsatz.

Kunden, die die selbstverwaltete NetScaler Console nutzen, werden dringend aufgefordert, auf die aktualisierten Versionen (NetScaler Console 14.1-38.53 oder 13.1-56.18 bzw. NetScaler Agent in entsprechenden Versionen) zu aktualisieren. Nutzer des Citrix-managed NetScaler Console Service sind von dieser Maßnahme nicht betroffen.

Tags :

Related Posts

CVE-2025-1094: Kritische SQL-Injection-Schwachstelle in PostgreSQL psql behoben

Rapid7 entdeckte eine SQL-Injection-Schwachstelle in dem PostgreSQL-Tool psql. Die Sicherheitslücke, CVE-2025-1094, macht es möglich, trotz Verwendung der integrierten String-Escaping-Routinen durch die Verarbeitung ungültiger UTF-8-Zeichen SQL-Injection-Angriffe durchzuführen. Angreifer können so über Meta-Commands im psql-Tool beliebige Betriebssystembefehle ausführen oder SQL-Anweisungen manipulieren, was letztlich zu einer Arbitrary Code Execution führen konnte.

Read More

WinZip-Sicherheitslücke ermöglicht Remote Code Execution

Am 13. Februar 2025 wurde eine kritische Schwachstelle in WinZip entdeckt, die Angreifern die Ausführung von beliebigem Code aus der Ferne ermöglicht. Die Sicherheitslücke CVE-2025-1240 beruht auf fehlerhafter Verarbeitung von 7Z-Dateien, bei der unzureichend validierte Benutzereingaben zu einem Pufferüberlauf führen. Eine Ausnutzung setzt voraus, dass der Nutzer eine manipulierte Datei öffnet oder eine kompromittierte Webseite besucht – etwa über Phishing oder andere Social-Engineering-Tricks. Mit einem CVSSv3-Basiswert von 7.8 wird das hohe Risiko dieser Schwachstelle deutlich. Die Problematik wurde in WinZip Version 29.0 behoben, weshalb Anwender dringend zum Update aufgefordert werden, um ihre Systeme zu schützen.

Read More

Zero-Day-Schwachstelle in PAN-OS: Authentifizierungsumgehung durch Path Confusion

Ein Sicherheitsforscherteam von Assetnote hat eine kritische Schwachstelle in der PAN-OS Management-Schnittstelle von Palo Alto Networks entdeckt, die es Angreifern ermöglicht, die Authentifizierung zu umgehen (CVE-2025-0108). Der Fehler beruht auf einer Pfadverwirrung zwischen Nginx und Apache, bei der die unterschiedlich interpretierte URL zu einem Authentifizierungsfehler führt. Konkret wird ein Header, der in Nginx korrekt gesetzt wird, durch die doppelte URL-Dekodierung in Apache manipuliert, sodass schlussendlich der Schutzmechanismus aufgehoben wird und sensible administrative Funktionen ohne Login aufgerufen werden können.

Read More