Citrix ADC 및 Gateway 경로 탐색 기반 원격 코드 실행(RCE) 취약점 (CVE-2019-19781) 보안 권고

# 1. Citrix 장비에 SSH 접속 후 쉘 진입
shell

# 2. 최신 펌웨어 다운로드 및 압축 해제 (예시 경로)
tar -xvzf build_tgz_file.tgz -C /var/nsinstall/

# 3. 설치 스크립트 실행을 통한 업그레이드 진행
cd /var/nsinstall/
./installns

# 4. 업그레이드 완료 후 시스템 재부팅
reboot

# 1. 디렉터리 탐색 공격 패턴을 탐지하는 Responder Policy 생성
add responder policy app_cve_2019_19781_bypass 'HTTP.REQ.URL.DECODE_USING_TEXT_MODE.CONTAINS("/vpns/") && (HTTP.REQ.URL.DECODE_USING_TEXT_MODE.CONTAINS("/../") || HTTP.REQ.URL.DECODE_USING_TEXT_MODE.CONTAINS("/\\../"))' DROP

# 2. 생성한 정책을 글로벌 VPN 가상 서버 또는 시스템 전역에 바인딩
bind responder global app_cve_2019_19781_bypass 1 -type REQ_OVERRIDE

# 3. 설정 사항 영구 저장
save ns config

#!/bin/sh
echo '[+] Checking Citrix HTTP Access Logs for CVE-2019-19781 Exploitation...' 

# 1. 로그 파일에서 '/vpns/' 및 '/../' 패턴 매칭 검사
grep -E '/vpns/.*\.\./' /var/log/httpd.access_log*

# 2. 템플릿 생성 스크립트(newbm.pl) 호출 흔적 검사
grep 'newbm.pl' /var/log/httpd.access_log*

# 3. 시스템 내 비정상적인 XML 파일 생성 여부 확인
find /var/vpn/bookmark/ -name '*.xml' -mtime -30 -exec ls -la {} \;