Citrix ha da poco rilasciato tre nuovi bollettini di sicurezza per segnalare 4 vulnerabilità, una (la più importante) sui Virtual Desktop Agent per Windows, una per la WorkspaceApp per Linux e due per la WorkspaceApp per Windows.
La prima vulnerabilità CVE-2023-24483 segnala un problema di Privilege Escalation locale che un utente collegato utilizzare per guadagnare i privilegi di System. La vulnerabilità impatta tutte le versioni dei VDA per Windows, tranne le ultime:
- Citrix Virtual Apps and Desktops versioni precedenti 2212 (CR)
- Citrix Virtual Apps and Desktops 2203 LTSR precedenti al CU2
- Citrix Virtual Apps and Desktops 1912 LTSR precedenti al CU6
Questo aggiornamento genererà un p’ di lavoro di aggiornamento nei prossimi giorni….
La seconda vulnerabilità CVE-2023-24486 impatta i client Linux con versioni non aggiornate di WorkspaceApp: un attaccante dovrebbe collegarsi ad un client Linux dove un altro utente ha una sessione aperta e da qui potrebbe sfruttare questa vulnerabilità per lanciare una nuova sessione. Tutte le versioni di Citrix WorkspaceApp per Linux precedenti alla versione 2302 sono vulnerabili ed è raccomandato l’aggiornamento.
Il terzo bollettino di sicurezza riporta due vulnerabilità (CVE-2023-24484 e CVE-2023-24485): la prima permette la scrittura di file di log in cartelle dove non si hanno i permessi; la seconda permette di fare un privilege escalation locale sul client nel caso in cui la WorkspaceApp sia stata installata con i privilegi amministrativi. Le versioni vulneravili sono:
- Citrix Workspace App versioni precedenti alla 2212 (CR)
- Citrix Workspace App 2203 LTSR precedenti alla CU2
- Citrix Workspace App 1912 LTSR precedenti alla CU7 Hotfix 2 (19.12.7002)
Per ulteriori informazioni vi rimando ai bollettini di sicurezza: