{"data":{"case":{"actions":{"de":["Nutze eine unterstützte NetScaler-Version wie **14.1** mit allen aktuellen Updates. Die betroffenen Versionen 10.5 bis 13.0 erhalten keine Sicherheitsupdates mehr; für 13.0 endete der Support am 15. Juli 2024.","Lief ein Gateway im Januar 2020 ohne den Fix oder den Workaround, lass es auf Spuren eines Angriffs prüfen: Ein Update entfernt keine Hintertür, die vorher eingeschleust wurde. Wurde es kompromittiert, setze es neu auf und ersetze seine Zertifikate.","Installiere Sicherheitsupdates für Fernzugriffs-Gateways binnen weniger Tage: Im Januar 2020 begannen die Massenangriffe binnen eines Tages nach der Veröffentlichung des Angriffscodes."],"en":["Run a supported NetScaler release such as **14.1** with all current updates. The affected versions 10.5 to 13.0 get no more security fixes; 13.0 reached its end of life on July 15, 2024.","If a gateway ran without the fix or the workaround in January 2020, have it checked for signs of attack: an update does not remove a backdoor planted before it. If it was compromised, set it up anew and replace its certificates.","Install security updates for remote access gateways within days: in January 2020, mass attacks began within a day of the attack code's release."]},"criteria":{"damage":{"de":"Angreifer, die über das Citrix-Gateway eingedrungen waren, verschlüsselten im September 2020 etwa 30 Server des Universitätsklinikums Düsseldorf (Justizministerium NRW, September 2020). Das Klinikum musste sich für 13 Tage von der Notfallversorgung abmelden (BSI, 2021).","en":"Attackers who had come in through the Citrix gateway encrypted about 30 servers of Düsseldorf University Hospital in September 2020 (NRW Ministry of Justice, September 2020). The hospital had to stay off emergency care for 13 days (BSI, 2021).","met":true},"exploitation":{"de":"Fox-IT fand bis Juni 2020 auf 3.332 Servern bekannte Spuren einer Kompromittierung (Fox-IT, Juli 2020). Behörden aus den USA, Großbritannien und Australien nannten die Lücke die am häufigsten ausgenutzte des Jahres 2020 (CISA-Warnung AA21-209A, Juli 2021).","en":"Fox-IT found known signs of compromise on 3,332 servers by June 2020 (Fox-IT, July 2020). Agencies of the US, the UK and Australia called it the most exploited flaw of 2020 (CISA advisory AA21-209A, July 2021).","met":true},"reach":{"de":"Ein weltweiter Scan fand im Dezember 2019 schätzungsweise 128.777 verwundbare Server (DIVD-Fallbericht, 2020).","en":"A worldwide scan in December 2019 found an estimated 128,777 vulnerable servers (DIVD case report, 2020).","met":true},"response":{"de":"Das niederländische NCSC stufte die Lücke auf die höchste Stufe hoch. Es forderte Regierung und Betreiber kritischer Dienste dringend auf, ihre Citrix-Server bis zum Fix abzuschalten (Brief der niederländischen Regierung an das Parlament, 23. Januar 2020).","en":"The Dutch NCSC raised its rating to the highest level. It urged the government and operators of vital services to switch off their Citrix servers until a fix existed (Dutch government's letter to parliament, January 23, 2020).","met":true}},"cves":["CVE-2019-19781"],"cvss":9.8,"cvss_version":"3.1","cwe":"CWE-22","dates":[{"date":"2019-12-17","key":"disclosed"},{"date":"2020-01-11","key":"exploited"},{"date":"2020-01-17","de":"Das niederländische NCSC rät, Citrix-Server abzuschalten, bis es einen Fix gibt","en":"The Dutch NCSC advises switching off Citrix servers until a fix exists"},{"date":"2020-01-19","key":"patched"},{"date":"2020-01-24","de":"Mit Version 10.5 bekommt die letzte betroffene Version ihren Fix","en":"With version 10.5, the last affected version gets its fix"},{"date":"2020-09-10","de":"Ransomware, die über ein Citrix-Gateway eingedrungen ist, trifft das Universitätsklinikum Düsseldorf","en":"Ransomware that came in through a Citrix gateway hits Düsseldorf University Hospital"},{"date":"2021-07-28","de":"Behörden aus den USA, Großbritannien und Australien nennen sie die am häufigsten ausgenutzte Sicherheitslücke des Jahres 2020","en":"Agencies of the US, the UK and Australia name it the most exploited flaw of 2020"},{"date":"2021-11-03","key":"kev"}],"de":{"credit":"Positive Technologies","fixed":"Citrix ADC und Gateway 11.1 Build 63.15 und 12.0 Build 63.13 (19. Januar 2020), 12.1 Build 55.18 und 13.0 Build 47.24 (23. Januar), 10.5 Build 70.12 (24. Januar 2020)","product":"Citrix ADC und Citrix Gateway (heute wieder NetScaler genannt), Geräte für den Fernzugriff auf interne Netze","summary":"Eine Sicherheitslücke in den Fernzugriffs-Gateways von Citrix ließ jeden im Internet die Geräte ohne Passwort übernehmen. 33 Tage lang gab es nur einen Workaround."},"disclosed":"2019-12-17","en":{"credit":"Positive Technologies","fixed":"Citrix ADC and Gateway 11.1 build 63.15 and 12.0 build 63.13 (January 19, 2020), 12.1 build 55.18 and 13.0 build 47.24 (January 23), 10.5 build 70.12 (January 24, 2020)","product":"Citrix ADC and Citrix Gateway (today again called NetScaler), devices for remote access to internal networks","summary":"A flaw in Citrix's remote access gateways let anyone on the internet take them over without a password. For 33 days, only a workaround existed."},"figures":[{"de":"verwundbare Server weltweit im Dezember 2019 (Schätzung aus einem Scan; DIVD)","en":"vulnerable servers worldwide in December 2019 (estimate from a scan; DIVD)","value":"128,777"},{"de":"Server mit bekannten Spuren eines Angriffs bis Juni 2020 (Fox-IT)","en":"servers with known signs of attack by June 2020 (Fox-IT)","value":"3,332"},{"de":"Tage vergingen zwischen der Warnung von Citrix und den ersten Fixes","en":"days from Citrix's warning to the first fixes","value":"33"},{"de":"Tage in Folge war das Universitätsklinikum Düsseldorf von der Notfallversorgung abgemeldet (BSI)","en":"days in a row Düsseldorf University Hospital was off emergency care (BSI)","value":"13"}],"kev":"2021-11-03","key":"citrix-adc","name":"Citrix ADC","product":"Citrix ADC and Citrix Gateway","sources":[{"de":"Citrix-Sicherheitshinweis CTX267027 zu CVE-2019-19781","title":"Citrix security bulletin CTX267027 for CVE-2019-19781","url":"https://support.citrix.com/article/CTX267027"},{"de":"NVD: CVE-2019-19781","title":"NVD: CVE-2019-19781","url":"https://nvd.nist.gov/vuln/detail/CVE-2019-19781"},{"de":"CERT/CC-Schwachstellenhinweis VU#619785, mit dem Workaround","title":"CERT/CC vulnerability note VU#619785, with the workaround","url":"https://www.kb.cert.org/vuls/id/619785"},{"de":"CISA-Warnung AA20-020A, mit den korrigierten Builds und ihren Daten","title":"CISA alert AA20-020A, with the fixed builds and their dates","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-020a"},{"de":"CISA-Warnung AA20-031A: kompromittierte Citrix-Geräte erkennen","title":"CISA alert AA20-031A: detecting compromised Citrix devices","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa20-031a"},{"de":"CISA, FBI, ACSC und NCSC-UK: die am häufigsten ausgenutzten Schwachstellen (28. Juli 2021)","title":"CISA, FBI, ACSC and NCSC-UK: top routinely exploited vulnerabilities (July 28, 2021)","url":"https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-209a"},{"de":"DIVD: Fallbericht zu CVE-2019-19781, mit Scan-Ergebnissen","title":"DIVD: case report on CVE-2019-19781, with scan results","url":"https://www.divd.nl/newsroom/articles/b6f6e14afadc/"},{"de":"SANS Internet Storm Center: Exploits für Citrix ADC sind öffentlich und werden stark genutzt (11. Januar 2020)","title":"SANS Internet Storm Center: Citrix ADC exploits are public and heavily used (January 11, 2020)","url":"https://isc.sans.edu/diary/25700"},{"de":"FireEye (Mandiant): ein Angreifer, der andere Angreifer aussperrt, sich selbst aber eine Hintertür offenhält (15. Januar 2020)","title":"FireEye (Mandiant): an attacker that blocks other attackers but keeps a backdoor (January 15, 2020)","url":"https://cloud.google.com/blog/topics/threat-intelligence/vigilante-deploying-mitigation-for-citrix-netscaler-vulnerability-while-maintaining-backdoor/"},{"de":"Fox-IT: ein zweiter Blick auf CVE-2019-19781, mit der Zahl kompromittierter Server (1. Juli 2020)","title":"Fox-IT: a second look at CVE-2019-19781, with counts of compromised servers (July 1, 2020)","url":"https://blog.fox-it.com/2020/07/01/a-second-look-at-cve-2019-19781-citrix-netscaler-adc/"},{"de":"Niederländische Regierung: Brief an das Parlament zur Citrix-Sicherheitslücke (23. Januar 2020, auf Niederländisch)","title":"Dutch government: letter to parliament on the Citrix flaw (January 23, 2020, in Dutch)","url":"https://zoek.officielebekendmakingen.nl/kst-26643-660.html"},{"de":"Niederländisches NCSC: Citrix-Systeme nach Möglichkeit abschalten (Januar 2020, auf Niederländisch)","title":"Dutch NCSC: switch off Citrix systems where possible (January 2020, in Dutch)","url":"https://www.ncsc.nl/actueel/nieuws/2020/januari/16/door-citrix-geadviseerde-mitigerende-maatregelen-niet-altijd-effectief"},{"de":"BSI: Aktive Ausnutzung der Citrix-Schwachstelle (16. Januar 2020)","title":"BSI: active exploitation of the Citrix flaw (January 16, 2020, in German)","url":"https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2020/Citrix_Schwachstelle_160120.html"},{"de":"BSI: Cyber-Angriff auf Uniklinik Düsseldorf, BSI warnt vor akuter Ausnutzung bekannter Schwachstelle (17. September 2020)","title":"BSI: cyber attack on Düsseldorf University Hospital, warning of the Citrix flaw (September 17, 2020, in German)","url":"https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2020/UKDuesseldorf_170920.html"},{"de":"BSI: Die Lage der IT-Sicherheit in Deutschland 2021, mit dem Fall des Klinikums auf Seite 15 (PDF)","title":"BSI: the state of IT security in Germany 2021, with the hospital case on page 15 (PDF, in German)","url":"https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2021.pdf?__blob=publicationFile\u0026v=3"},{"de":"Justizministerium NRW: Bericht an den Landtag zum Stand des Ermittlungsverfahrens zum Cyberangriff auf die Uniklinik Düsseldorf (September 2020, PDF)","title":"NRW Ministry of Justice: report to the state parliament on the attack on Düsseldorf University Hospital (September 2020, PDF, in German)","url":"https://www.landtag.nrw.de/portal/WWW/dokumentenarchiv/Dokument/MMV17-3855.pdf"},{"de":"Wissenschaftsministerium NRW: Bericht an den Landtag zum IT-Ausfall am Düsseldorfer Uniklinikum (September 2020, PDF)","title":"NRW Ministry of Culture and Science: report to the state parliament on the IT outage at the hospital (September 2020, PDF, in German)","url":"https://www.landtag.nrw.de/portal/WWW/dokumentenarchiv/Dokument/MMV17-3934.pdf"},{"de":"Justizministerium NRW: Stand der Ermittlungen, mit dem Ergebnis zum Tod einer Patientin (Januar 2021, PDF)","title":"NRW Ministry of Justice: status of the investigation, with the findings on the death of a patient (January 2021, PDF, in German)","url":"https://www.landtag.nrw.de/portal/WWW/dokumentenarchiv/Dokument/MMV17-4545.pdf"},{"de":"NetScaler: Release-Zyklus der Firmware, mit dem Supportende der Versionen","title":"NetScaler: firmware release cycle, with end-of-life dates","url":"https://support.citrix.com/external/article/CTX241500/netscaler-adc-firmware-release-cycle.html"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H","year":2019}},"description":"Im Dezember 2019 ließ eine Lücke in den Fernzugriffs-Gateways von Citrix Angreifer ohne Passwort hinein, 33 Tage lang ohne Fix. Wie das ging, wen es traf.","language":"de","latest_measurement":"2026-11-01","method":"latency-v3","method_page":"https://crackthe.net/de/daten/methode/","source":"https://crackthe.net/","text":"Am 17. Dezember 2019 warnte Citrix vor einer Sicherheitslücke in Citrix ADC und Citrix Gateway. Über sie konnte jeder im Internet ohne Passwort Befehle auf diesen Geräten ausführen. Die Geräte stehen am Rand vieler Netze von Unternehmen und Behörden. Sie lassen Beschäftigte von außen auf interne Anwendungen zugreifen und verteilen eingehenden Datenverkehr auf mehrere Server. Einen Fix hatte Citrix zunächst nicht, nur einen Workaround, also eine Behelfslösung. Die ersten Fixes kamen 33 Tage später, am 19. Januar 2020. Da war der Angriffscode schon öffentlich und Angriffe liefen weltweit.\nSo funktionierte der Angriff Citrix Gateway hat einen eingebauten Webserver, der den Nutzern die Anmeldeseite zeigt. Dahinter liegt ein Ordner namens /vpns/ mit kleinen Programmen, sogenannten Perl-Skripten, die erst nach der Anmeldung erreichbar sein sollten. Die Lücke, CVE-2019-19781, ist ein Path Traversal. Ein Angreifer fügt „../“ in die Adresse einer Anfrage ein, etwa /vpn/../vpns/. Damit klettert er aus dem öffentlichen Bereich heraus und erreicht diese Skripte ohne Anmeldung.\nDas CERT Coordination Center der Carnegie Mellon University beschrieb einen Weg, das auszunutzen. Eine erste Anfrage bringt eines der Skripte dazu, eine Datei mit versteckten Befehlen auf das Gerät zu schreiben. Eine zweite Anfrage lässt das Gerät diese Datei als Vorlage für eine Webseite lesen. Dabei laufen die Befehle. Der Angreifer kontrolliert dann ein Gerät, das zwischen dem Internet und dem internen Netz steht.\nAngreiferfügt ../ in die Adresse einer Anfrage ein Citrix-Gatewaylässt sie zu Skripten durch, die nur für angemeldete Nutzer gedacht sind Skriptschreibt eine Datei mit versteckten Befehlen Gatewayführt die Befehle aus Internes Netzliegt hinter dem Gateway offen Zwei Anfragen ohne Passwort reichten, um das Gateway zu übernehmen. Der Workaround von Citrix war eine Regel, die Anfragen mit „/../“ oder mit dem Ziel /vpns/ abweist. Bei einigen Builds der Version 12.1 verhinderte ein anderer Fehler, dass die Regel griff. Betroffen waren die Versionen 10.5 bis 13.0. Im Januar 2020 stellte Citrix fest, dass auch seine SD-WAN-WANOP-Geräte verwundbar waren. Sie enthalten Citrix ADC. Citrix ADC hieß früher NetScaler ADC und wird heute wieder unter diesem Namen verkauft.\nReichweite und Schaden Die niederländische Freiwilligengruppe DIVD durchsucht das Internet nach verwundbaren Systemen und warnt deren Betreiber. Laut DIVD fand ein weltweiter Scan im Dezember 2019 schätzungsweise 128.777 verwundbare Server. Das Sicherheitsunternehmen Positive Technologies, das die Lücke entdeckt hatte, bezifferte die Zahl der gefährdeten Unternehmen auf 80.000 in 158 Ländern. In Deutschland hatte das Bundesamt für Sicherheit in der Informationstechnik (BSI) seit dem 7. Januar 2020 knapp 5.000 verwundbare Systeme an Netzbetreiber gemeldet. Am 16. Januar waren davon noch rund 1.500 offen. Dem BSI lagen zahlreiche Meldungen über erfolgreiche Angriffe vor.\nIn der Nacht vom 10. auf den 11. Januar 2020 veröffentlichten mehrere Gruppen funktionierenden Angriffscode. Das SANS Internet Storm Center, ein Frühwarndienst des SANS Institute, beobachtete schon am nächsten Tag, dass die Lücke stark ausgenutzt wurde. Das Sicherheitsunternehmen FireEye fand vor dem 12. Januar erfolgreiche Angriffe mehrerer Gruppen. Eine davon löschte die Werkzeuge anderer Angreifer und blockierte weitere Angriffe. Sie behielt aber eine Hintertür, einen versteckten Weg zurück ins Gerät, den nur sie mit einem geheimen Schlüssel öffnen konnte.\nDas Update entfernte solche Hintertüren nicht. Das niederländische Sicherheitsunternehmen Fox-IT fand im Januar 2020 auf 1.030 Servern bekannte Spuren einer Kompromittierung, also einer Übernahme durch Angreifer. Bis Juni 2020 waren es 3.332 Server, darunter Server von Regierungsorganisationen und Fortune-500-Unternehmen. Von den im Juni kompromittierten Servern waren 23 % gepatcht, hatten aber weiterhin eine Hintertür. Im Juli 2021 nannten Behörden aus den USA, Großbritannien und Australien CVE-2019-19781 die am häufigsten ausgenutzte Sicherheitslücke des Jahres 2020.\nServer mit bekannten Spuren einer Kompromittierung Januar 20201.030 Juni 20203.332 Fox-IT zählte nur die Hintertüren und Spuren, die es kannte. Quelle: Fox-IT (Juli 2020).\nDen schwersten dokumentierten Schaden gab es Monate später. Im September 2020 verschlüsselten Angreifer etwa 30 Server des Universitätsklinikums Düsseldorf mit Ransomware. Diese Schadsoftware sperrt Daten und verlangt Geld für ihre Freigabe. Laut BSI waren sie über das Citrix-Gateway des Klinikums eingedrungen. Sie hatten es kompromittiert, bevor das Update installiert war. Installiert waren die Fixes dort ab dem 27. Januar 2020. Das Klinikum konnte 13 Tage in Folge keine Notfallpatienten aufnehmen. Die Zentrale Notaufnahme öffnete am 23. September 2020 wieder. Das Erpresserschreiben war an die Universität gerichtet, zu der das Klinikum gehört. Die Polizei teilte den Angreifern mit, dass sie ein Krankenhaus getroffen hatten. Daraufhin gaben die Angreifer einen Schlüssel heraus, mit dem sich die Daten wiederherstellen ließen.\nIn der Nacht vom 11. auf den 12. September sollte eine lebensbedrohlich erkrankte Frau mit dem Rettungswagen in das Klinikum gebracht werden. Sie kam stattdessen mit etwa 20 bis 25 Minuten Verzögerung in ein weiter entferntes Krankenhaus in Wuppertal und starb. Die Staatsanwaltschaft kam im Januar 2021 zu dem Schluss, dass sie sehr wahrscheinlich auch bei früherer Behandlung gestorben wäre. Ein Zusammenhang zwischen dem Angriff und ihrem Tod ließ sich deshalb nicht belegen.\nDer Fix und die Reaktion Citrix veröffentlichte die Fixes Version für Version:\nTage von der Warnung von Citrix bis zum Fix Versionen 11.1 und 12.033 SD-WAN WANOP36 Versionen 12.1 und 13.037 Version 10.538 Gezählt von der Warnung vom 17. Dezember 2019 bis zu den Fixes vom 19. bis 24. Januar 2020. Quelle: CISA.\nBevor es die Fixes gab, gingen Regierungen weiter als üblich. Das niederländische National Cyber Security Centre (NCSC) stufte die Lücke am 24. Dezember 2019 auf die höchste Stufe hoch. Es wurde unklar, ob der Workaround von Citrix in allen Fällen wirkte. Am 17. Januar 2020 riet das NCSC der Regierung und den Betreibern kritischer Dienste dringend, ihre Citrix-Server bis zu einem Fix abzuschalten. Der IT-Chef der niederländischen Regierung forderte die Ministerien auf, ebenso zu handeln, sofern nicht strenge Bedingungen erfüllt waren. Laut Regierung deckten die ersten Fixes etwa die Hälfte der verwundbaren Systeme in den Niederlanden ab.\nIn den USA veröffentlichte die CISA, die Bundesbehörde für Cybersicherheit, am 13. Januar 2020 ein kostenloses Werkzeug. Es prüft, ob ein Gerät verwundbar ist. Am 22. Januar brachten Citrix und FireEye einen Scanner heraus, der nach Spuren von Angriffen sucht. Am 31. Januar warnte die CISA, dass unbekannte Angreifer zahlreiche Organisationen kompromittiert hätten. Sie warnte auch, dass ein Patch ein bereits kompromittiertes Gerät nicht bereinigt. Das BSI wiederholte diese Warnung nach dem Angriff auf das Klinikum im September 2020. Am 3. November 2021 nahm die CISA die Lücke in ihren Katalog ausgenutzter Schwachstellen auf.\nDie National Vulnerability Database bewertet CVE-2019-19781 mit 9,8 von 10 Punkten, also als „kritisch“. Ein Angreifer braucht weder ein Passwort noch die Mithilfe eines Nutzers und kann das Gerät vollständig übernehmen.","title":"Citrix ADC: Die Gateway-Lücke, die interne Netze öffnete","url":"https://crackthe.net/de/sicherheit/schwachstellen/citrix-adc/"}