CVE-2019-6485 - Citrix ADC和NetScaler网关的Oracle TLS填充漏洞

在Citrix应用程序交付控制器(ADC)中发现了一个漏洞，其正式名称为NetScaler ADC和NetScaler Gateway平台使用了硬件加速，可以允许攻击者利用该设备解密TLS通信。此漏洞不允许攻击者直接获取TLS私钥。

此漏洞已分配以下CVE:

•CVE-2019-6485: Citrix ADC和NetScaler网关的TLS填充Oracle漏洞

不在下面列表中的平台以及运行下列Citrix ADC和NetScaler Gateway版本的平台都会受到影响，包括受影响SDX平台上的Citrix ADC实例，它们通过指定的虚拟函数(VF)使用硬件加速:

Citrix ADC和NetScaler Gateway version 12.1早于build 50.31

Citrix ADC和NetScaler Gateway版本12.0早于60.9版本

Citrix ADC和NetScaler Gateway version 11.1早于60.14版本

Citrix ADC和NetScaler Gateway version 11.0早于72.17版本

Citrix ADC和NetScaler网关10.5版本早于69.5版本

以下平台不受影响，不需要升级固件:

•MPX 5900系列

•MPX/SDX 8900系列

•MPX /有关15000 - 50 g

MPX/SDX 26000-50S系列

MPX/SDX 26000-100G系列

MPX/SDX 26000系列

•VPX

如何查看您的平台:https://docs.citrix.com/en-us/netscaler/12/ssl/support-for-mpx-5900-8900-platforms.html

已禁用基于cbc的密码套件的Citrix ADC和NetScaler Gateway设备不受此漏洞的影响。Citrix还建议对基于gcm的密码进行优先排序。

思杰感谢以下客户与我们合作保护思杰客户:

•Tripwire VERT的克雷格•杨(Craig Young)

•Ruhr-Universität波鸿(Ruhr-Universität Bochum)的詹尼斯•弗莱根施密特(Janis Fliegenschmidt)

•Ruhr-Universität Bochum / Hackmanit GmbH的Juraj Somorovsky

•特拉维夫大学(Tel Aviv University)的尼姆罗德·艾维瑞姆(Nimrod Aviram)

•Ruhr-Universität波鸿(Ruhr-Universität Bochum)的罗伯特•梅杰特(Robert Merget)

日期	改变
2019年1月23日	最初的发布