Sicherheitslücken in Citrix XenWebCenter gemeldet

Laut einer Meldung von Security Reason existiert in der aktuellen Version des Citrix XenWebCenter eine Reihe von Sicherheitslücken, die Angreifer die Umgehung von Sicherheitsbestimmungen und sogar die Einspeisung von SQL und Kommandos auf Shellebene ermöglichen. Nachdem der Hersteller bislang keinen Patch präsentierte, wurden die Sicherheitslücken jetzt veröffentlicht. Citrix hat die Anwendung aus dem Download-Bereich vorerst entfernt.

Im Bericht finden sich Beispiele, wie sich XSS- und CSRF-Attacken gegen ein betroffenes System ausführen lassen. Auch die Einspeisung von SQL-Befehlen und Kommandos, die an die Konsole des Servers weitergeleitet werden, finden sich im Dokument. Benutzern, die das Produkt einsetzen, wird die gezielte Sperrung der entsprechenden Dienste (HTTP) für unbefugte Benutzer empfohlen. (vgw)