De maatregelen die Citrix voorstelt om een gevaarlijke bug in zijn software tegen te gaan, werken niet voor oudere installaties. Het Nederlandse Nationaal Cybersecurity Centrum stelt voor de servers helemaal uit te zetten tot er een patch is.
De Citrix VPN gateway bug met de naam CVE-2019-19781 is een bijzonder gevaarlijke bug die al actief misbruikt wordt, volgens het Belgische CERT. Het probleem werd in december bekendgemaakt, maar een echte patch komt pas volgende week, op 20 januari.
Citrix heeft wel enkele maatregelen op zijn site gezet om schade van de bug te verzachten, maar geeft zelf toe dat die niet werken bij oudere versies van zijn systeem. Gebruikers met een versie ouder dan 12.1 moeten eerst upgraden naar nieuwere software voordat ze de tijdelijke fix kunnen installeren. Een gepatchte versie van de gateways in kwestie is op dit moment nog niet verschenen.
Op zijn site geeft het Nederlandse Nationaal Cybersecurity Centrum aan dat er op dit moment geen goede, gegarandeerd betrouwbare oplossing is voor alle Citrix ADC en Citrix Gateway servers. De overheidsinstelling raadt aan om de servers voorlopig uit te zetten. Is dat niet mogelijk, dan luidt het advies om het netwerk ‘intensief te monitoren op mogelijk misbruik’.
Enkele Nederlandse steden en gemeenten hebben die raad ondertussen opgevolgd. Onder meer Amsterdam en Den Haag hebben uit voorzorg de externe toegang tot hun Citrix-netwerk afgesloten. Ook kleinere gemeenten hebben besloten om Citrix uit voorzorg uit te schakelen, zoals Achtkarspelen en Tytsjerksteradiel in Friesland, het Brabantse Goirle en Halderberge en Beek in Limburg.
Citrix-technologie is populair bij grotere bedrijven en wordt gebruikt in 122 landen.
Fout opgemerkt of meer nieuws? Meld het hier