Citrix StoreFront Server のXXEの脆弱性（CVE-2019-13608）

何が起きた

Citrix StoreFront Server に、XML という形式のデータを読み込むときに外部の情報を取り込んでしまう弱点（XXE）が見つかりました。Citrix によると、ログインしていない攻撃者が、サーバーから重要な情報を取り出せるおそれがあります。CISA によると実際に悪用されており、ランサムウェア（身代金を要求する攻撃）での悪用も知られています。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Citrix StoreFront Server の 1903 より前、7.15 LTSR の CU4 (3.12.4000) より前、7.6 LTSR の CU8 (3.0.8000) より前を使っている組織が影響を受けます。Citrix によると、NetScaler Gateway と組み合わせている構成では、信頼できるネットワークの外にいる相手はログインしないと攻撃できませんが、内側のネットワークにいる相手は攻撃できます。

何をすればいい

Citrix は、StoreFront 1903、7.15 LTSR CU4 (3.12.4000)、7.6 LTSR CU8 (3.0.8000)、またはそれより新しい版に更新するよう強く勧めています。これらの版以降に更新されているか確認してください。公式の案内を確認し、古いバージョンが使われていないか確認することも大切です。

やることチェックリスト

• StoreFront を 1903 以降に更新する
• 7.15 LTSR は CU4 (3.12.4000) 以降にする
• 7.6 LTSR は CU8 (3.0.8000) 以降にする

用語メモ

XML

データを、目印（タグ）で区切って書き表すための形式です。

XXE

XML を読み込むときに、外部のファイルなどを取り込んでしまう弱点です。サーバー内の情報が漏れる原因になります。

LTSR

Long Term Service Release の略で、長い期間サポートされる Citrix の版です。

ランサムウェア

データを使えなくして、元に戻す代わりにお金を要求する悪質なプログラムです。