Danske FortConsult fortæller at sårbarheden i Citrix' klientsoftware blev opdaget i forbindelse med en sikkerhedstest, som firmaet udførte for en af sine kunder. Citrix Systems blev informeret om hullet i september og har i dag offentliggjort en patch, der fjerner sårbarheden.
FortConsult fortæller, at man har været i tæt dialog med Citrix, og det danske firma har valgt at offentliggøre sikkerhedshullet samtidig med frigivelsen af opdateringen.
»Vi valgte at vente med at offentliggøre denne sårbarhed, til Citrix Systems var klar med en patch, fordi vi generelt ikke ønsker at frigive informationer om nye sikkerheds-huller, før der findes en løsning på problemet. På grund af sikkerhedsproblemets alvorlighed informerede vi imidlertid vores kunder, allerede da vi opdagede sårbarheden, så de havde mulighed for at vurdere situationen og tage deres forholdsregler med det samme,« siger Ulf Munkedal, adm. direktør i Fort Consult.
Sikkerhedshullet er relevant for virksomheder, som benytter Citrix' ActiveX-komponent Wfica.ocx. Det muliggør, at hackere kan overtage kontrollen med Windows-computere, hvorpå Citrix-klienten er installeret.
»Teknisk set er der tale om en høj-risiko-sårbarhed, fordi konsekvenserne af et hackerangreb kan være ret alvorlige. Men da hackerangreb mod ActiveX-komponenter ikke er så udbredte endnu - og vi ikke har set Citrix-sårbarheden blive udnyttet til at angribe virksomheder med endnu - er sandsynligheden for at blive angrebet rimelig lav. Konklusionen er, at vi anser sårbarheden for at være af medium alvorlighed - på trods af at vi har grund til at tro, at andre kender til den,« siger Ulf Munkedal.
Firmaets security research team har indtil nu opdaget ni sikkerhedshuller.
