【Citrix篇】2：Citrix ADC/Gateway远程代码执行XSS漏洞修复方案

一、前言

   最近我们根据修复了 CVE  -2023-3519漏洞，仍有部分安全厂商扫描出XSS漏洞，我们从400获悉该XSS漏洞不存在风险的，但是可拒绝请求，拦截掉。

【Citrix篇】1-Citrix ADC/Gateway 远程代码执行漏洞CVE-2023-3519和升级方法

http://mp.weixin.qq.com/s?__biz=Mzg5NTQ0MzUyNA==&mid=2247483707&idx=1&sn=7994d737c9a478b0ff0db761148faf2b&chksm=c0117610f766ff0654a53315385d21e7a132ed377f2581689e5cc9a15a45c39261dcc7773a01&scene=21#wechat_redirect

二、漏洞详情

   我们根据构建 XSS  语句，发现Citrix ADC上AAA认证直接返回注销成功的界面，如图所示（版本：NS13.0.90.13和NS13.1.49.13），但是此配置显示未配置SAML，如果您环境未配置SAML即可绕过，或者认为有必要修复，后续提供修复方案。

XSS语句：可后台私信获取

   低于上述版本会出现如图所示错误

三、解决方案

   过滤HTTP请求，未配置SAML的在Citrix ADC  上关闭请求即可。

1、在Citrix ADC上配置一条Responder策略，如图所示

2、绑定到gateway vserver

3、重新检测会报错，不会在跳转到注销成功界面。

四、公司介绍

      杭州智汇卓云信息科技 有限公司  成立于2019年7月，注册资金500万人民币。公司自成立以来，一直服务于运营商和集成商，是一家以技术为核心的企业，公司以“一站式IT专业技术服务”为运营商、企业提供技术实施、技术支持和软件开发等外包服务。公司目前拥有多名VCP、CCA、MCSE、项目经理和云计算工程师。智汇卓云与Dell、浪潮、安恒信息、思杰Citrix、VMware、Nutanix、Veeam、Veritas和Microsoft等知名厂家也建立了良好的合作关系。我们秉承“开拓、创新、诚信、务实”的企业宗旨，以诚信、共赢、开创的经营理念，准确把握产品及技术的市场发展发向，并坚持以“客户满意才是企业的效益根源”为轴心,实现共创、共赢。                                               联系方式：陈先生，18072726638

免责声明：本文系网络转载或改编，未找到原创作者，版权归原作者所有。如涉及版权，请联系删