Citrix今天发布了针对多个新安全漏洞的补丁程序，这些漏洞影响其Citrix Endpoint Management（CEM）（又称为XenMobile），该产品是为企业制造的，旨在帮助企业远程管理和保护员工的移动设备。
Citrix Endpoint Management为企业提供移动设备管理（MDM）和移动应用程序管理（MAM）功能。它使公司可以控制员工可以安装哪些应用程序，同时确保应用更新和安全设置来保护业务信息。
根据Citrix的说法，共有5个漏洞会影响企业中用于从一个中央位置管理所有应用程序，设备或平台的XenMobile服务器的本地实例。
该公司今天在一篇帖子中说：“补救措施已经应用于云版本，但是混合权限用户需要将升级应用于任何本地实例。”
如果不进行修补和成功利用，新发现的安全漏洞可能集体允许未经身份验证的攻击者获得受影响的XenMobile服务器的管理特权。
该公司警告说：“我们建议立即进行这些升级。尽管在撰写本文时尚无已知的利用，但我们确实预期恶意行为者会迅速采取利用行动。”
在XenMobile服务器版本之后，这两个漏洞（跟踪为CVE-2020-8208和CVE-2020-8209并被评为严重）会影响：
- RP2之前的XenMobile服务器10.12
- RP4之前的XenMobile服务器10.11
- RP6之前的XenMobile服务器10.10
- 10.9 RP5之前的XenMobile服务器
而其他三个安全漏洞（跟踪为CVE-2020-8210，CVE-2020-8211和CVE-2020-8212，严重等级为中/低）位于以下版本中：
- RP3之前的XenMobile服务器10.12
- RP6之前的XenMobile服务器10.11
- RP6之前的XenMobile服务器10.10
- 10.9 RP5之前的XenMobile服务器
Positive Technologies的Andrey Medov发现的 其中一个关键缺陷（CVE-2020-8209）可能允许未经身份验证的攻击者读取Web服务器根目录之外的任意文件，包括配置文件和敏感数据的加密密钥。
Mendov解释说：“利用此漏洞，黑客可以获取对于突破边界有用的信息，因为配置文件通常存储用于LDAP访问的域帐户凭据。”
因此，通过访问域帐户，远程攻击者可以将其他外部公司资源作为目标，例如公司邮件，VPN和Web应用程序。
据研究人员说，更糟糕的是，设法读取配置文件的攻击者可以访问敏感数据，例如数据库密码（默认情况下为本地PostgreSQL，在某些情况下为远程SQL Server数据库）。
但是，由于数据库存储在公司范围内，无法从外部访问，因此门多夫说：“这种攻击媒介只能在复杂的攻击中使用，例如，有内部同谋参与。”
Citrix在博客中指出：“需要立即为10.9、10.10、10.11和10.12版本应用最新的滚动修补程序。”
“ 10.9.x之前的任何版本都必须升级到具有最新滚动补丁的受支持版本。我们建议您升级到最新的受支持版本10.12 RP3。”
由于Citrix产品在被Citrix ADC，Gateway和Sharefile漏洞广泛利用之后，最近已成为黑客最喜欢的目标之一，因此强烈建议用户将其系统补丁到最新版本的软件。
*编译：Domino
*来自：thehackernews