Citrix Systems, Hersteller von Virtualisierungslösungen für Server- und Desktop-Anwendungen, meldet eine Schwachstelle in seinen Produkten XenApp und XenDesktop . Ein Angreifer könnte sie ausnutzen, um beliebigen Code einzuschleusen und mit den Rechten des anfälligen XML-Dienstes auszuführen.
Moritz Jodeit vom Sicherheitsunternehmen n.runs AG im hessischen Oberursel hat die Sicherheitslücke bereits Ende April entdeckt und an Citrix gemeldet. Er hat auch einen Demo-Exploit erstellt, den n.runs nun im Rahmen einer Sicherheitsmeldung teilweise veröffentlicht hat.
Es handelt sich um einen Fehler in der Erweiterungsbibliothek wpnbr.dll des Citrix XML-Dienstes. Der kann bei der Übergabe eines sehr langen Passworts im Klartext zu einem ausnutzbaren Pufferüberlauf führen. Der Fehler kann auch über das Citrix Web-Frontend ausgenutzt werden, falls der XML-Dienst für die Benutzeranmeldung eingerichtet ist.
Anfällig sind nach Angaben des Herstellers alle Versionen von XenApp und XenApp Fundamentals bis einschließlich Version 6 sowie XenDesktop 4. Dagegen ist XenDesktop 5 demnach nicht betroffen. Citrix hat Hotfixes für die anfälligen Produkte bereit gestellt und empfiehlt diese möglichst umgehend zu installieren.
Autor: Frank Ziemann, Autor
Frank Ziemann ist seit 2005 als freier Autor für die PC-WELT tätig, schreibt News und Testberichte. Seine Themenschwerpunkte sind IT-Sicherheit (Malware, Antivirus, Sicherheitslücken) und Internet-Technik.