SecBoard
Zurück zur CVE-Übersicht

CVE-2019-11634

CRITICAL(9.8)KEV — Aktiv ausgenutzt

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score57/100 — HOCH
  • CVSS 9.8 — Kritisch
  • Im CISA KEV-Katalog (aktiv ausgenutzt)

CISA KEV

Bestätigt ausgenutzt

EPSS-Score

8.0%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

CVE-2019-11634 betrifft die Citrix Workspace App für Windows vor Version 1904 sowie Citrix Receiver 4.9 Cumulative Update 6. Es handelt sich um eine Schwachstelle des Typs 'Incorrect Access Control', die potenziell unautorisierten Zugriff ermöglichen kann. Die genaue Auswirkung der Schwachstelle ist ein unkorrekter Zugriffskontrollmechanismus.

Diese Schwachstelle wird als kritisch eingestuft, mit einem CVSS-Score von 9.8. Die () Liste führt diese , was bedeutet, dass sie aktiv ausgenutzt wird. Die Exploit-Wahrscheinlichkeit () liegt bei 8%, was trotz des aktiven Exploits auf eine moderate Verbreitung hindeutet.

Security-Teams sollten umgehend die betroffenen Citrix Workspace App und Citrix Receiver Installationen auf die neueste verfügbare Version aktualisieren. Aufgrund der aktiven Ausnutzung und der kritischen Bewertung ist eine schnelle Priorisierung dieser Maßnahme unerlässlich, um das Risiko zu minimieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

Citrix Workspace App before 1904 for Windows has Incorrect Access Control.

Erkennung & Indikatoren

Ausnutzung

Actively exploited in the wild, including in ransomware campaigns (CISA KEV).

Behobene Versionen

  • Citrix Workspace App 1904 for Windows

Threat-Hunting-Queries

This vulnerability is a Remote Code Execution (RCE) due to incorrect access control related to local drive access preferences not being enforced. Detection should focus on unusual process creation or network activity originating from the Citrix Workspace App process, especially related to local drive access or privilege escalation attempts.

Sentinel/Defender KQL

DeviceProcessEvents
| where InitiatingProcessFileName =~ "wfica32.exe" or InitiatingProcessFileName =~ "CitrixWorkspaceApp.exe" // Or other relevant Citrix Workspace App processes
| where ProcessCommandLine contains "cmd.exe" or ProcessCommandLine contains "powershell.exe" or ProcessCommandLine contains "mshta.exe" or ProcessCommandLine contains "wscript.exe" or ProcessCommandLine contains "cscript.exe" // Look for suspicious child processes
| where not (ProcessCommandLine contains "/c" and ProcessCommandLine contains "echo" and ProcessCommandLine contains "set") // Exclude common benign commands
| project TimeGenerated, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, ProcessCommandLine, AccountName, RemoteIP, RemotePort

Splunk SPL

index=* (sourcetype=WinEventLog:Security OR sourcetype=WinEventLog:Microsoft-Windows-Sysmon/Operational) (ParentProcessName="wfica32.exe" OR ParentProcessName="CitrixWorkspaceApp.exe") (ProcessName="cmd.exe" OR ProcessName="powershell.exe" OR ProcessName="mshta.exe" OR ProcessName="wscript.exe" OR ProcessName="cscript.exe") NOT (CommandLine="* /c echo *" AND CommandLine="* set *") | table _time, host, ParentProcessName, CommandLine, ProcessName, User, dest_ip, dest_port

Sigma

title: Citrix Workspace App RCE Attempt
status: experimental
description: Detects suspicious process creation by Citrix Workspace App, indicative of a potential RCE exploitation of CVE-2019-11634.
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\wfica32.exe'
      - '\CitrixWorkspaceApp.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\mshta.exe'
      - '\wscript.exe'
      - '\cscript.exe'
  condition: selection
falsepositives:
  - Legitimate administrative scripts or tools launched by Citrix Workspace App (requires tuning)
level: high

Elastic ES|QL

from process where event.category == "process" and event.type == "start" and (process.parent.executable.name == "wfica32.exe" or process.parent.executable.name == "CitrixWorkspaceApp.exe") and (process.executable.name == "cmd.exe" or process.executable.name == "powershell.exe" or process.executable.name == "mshta.exe" or process.executable.name == "wscript.exe" or process.executable.name == "cscript.exe") and not (process.command_line : "* /c echo *" and process.command_line : "* set *") | select @timestamp, host.name, process.parent.executable.name, process.parent.command_line, process.executable.name, process.command_line, user.name, destination.ip, destination.port

SecBoard-generated · behavioral · requires customization — Von SecBoard erzeugt und nicht in einer Zielumgebung validiert. Vor dem Einsatz an die eigene Protokollierung anpassen.

Betroffene Produkte

  • cpe:2.3:a:citrix:receiver:4.9:cumulative_update_6:*:*:windows:*:*:*
  • cpe:2.3:a:citrix:workspace:*:*:*:*:*:windows:*:*

Referenzen