Kerngegevens
- Leverancier
- Citrix
- Product
- Citrix UniconOS
- Soort software
- VPN
- Getroffen versies
- Citrix UniconOS alle versies vóór 2607 CR, alle versies vóór 2603 LTSR CU2
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Citrix UniconOS 2607 CR
- Citrix UniconOS 2603 LTSR CU2
- CVE gepubliceerd
- 13 oktober 2026
- Gepubliceerd op LekkenRadar
- 13 oktober 2026
- Laatst gewijzigd bij NVD
- 13 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In Citrix UniconOS zit een fout in de manier waarop het systeem koppelingen (zoals symbolische links) volgt voordat het een bestand opent. Daardoor kan een aanvaller het systeem misleiden om een ander bestand te benaderen dan de bedoeling is. Het lek heeft ernst hoog, met een CVSS-score van 8,5.
Wie loopt risico?
Je loopt risico als je UniconOS gebruikt in een versie van vóór 2607 CR of vóór 2603 LTSR CU2. De aanval verloopt lokaal en vraagt dat de aanvaller al beperkte toegang tot het systeem heeft, bijvoorbeeld met een gewoon account. Er is geen aanwijzing dat het lek actief wordt misbruikt en er is geen publieke exploit bekend.
Wat moet je doen?
Controleer je versie
Kijk na welke versie van UniconOS je gebruikt. Versies van vóór 2607 CR en van vóór 2603 LTSR CU2 zijn getroffen.
Werk UniconOS bij
Werk bij naar 2607 CR of naar 2603 LTSR CU2 (of nieuwer), afhankelijk van welke lijn je gebruikt.
Lees het advies van Citrix
Raadpleeg Citrix-artikel CTX697187 voor de details en de officiële instructies.
Beperk lokale toegang
Zolang je nog niet hebt bijgewerkt, geef je alleen vertrouwde gebruikers lokale toegang tot de systemen waarop UniconOS draait.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het gaat om onjuiste linkresolutie vóór bestandstoegang (CWE-59, link following) in Citrix UniconOS. Het systeem controleert niet goed waar een koppeling naartoe wijst voordat het een bestand opent. Een lokale aanvaller met beperkte rechten kan hier misbruik van maken. Volgens de CVSS 4.0-vector (AV:L/AC:L/PR:L/UI:N) is er geen gebruikersinteractie nodig en is de aanvalscomplexiteit laag. De impact op vertrouwelijkheid, integriteit en beschikbaarheid van het getroffen systeem wordt als hoog beoordeeld.
CVSS-vector (versie 4.0, basisscore 8,5, bron: CNA)
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-59 · Onjuiste linkresolutie vóór bestandstoegang (link following)
- Aanvalsroute
- Alleen met toegang tot het apparaat
- EPSS, kans op misbruik binnen 30 dagen
- 0,2%
- Aanvalscode openbaar
- Nee