Citrix ha informado de la existencia de un problema de seguridad en las páginas de autenticación de determinadas versiones de Citrix MetaFrame Secure Access Manager y de Citrix NFuse Elite, que puede ser aprovechado en un ataque de tipo Cross-site scripting.

La vulnerabilidad se localiza en las páginas HTML donde se solicita el nombre de usuario, ya que los datos que puede suministrar el cliente no se filtran de forma adecuada.

Para aprovecharse de este problema de seguridad un atacante puede construir una URL que, al ser utilizada, inyecte y ejecute código arbitrario en el navegador de la víctima, con los mismos privilegios de seguridad que las páginas de autenticación legítimas de Citrix.

A efectos prácticos, mediante esta técnica un atacante podría acceder a las cookies de autenticación de la víctima y suplantar su identidad ante la aplicación Citrix.

La citada vulnerabilidad afecta a las versiones 2.0, 2.1 y 2.2 de Citrix MetaFrame Secure Access Manager, y a la versión 1.0. de Citrix NFuse Elite.

Información adicional sobre la misma, y sobre las instrucciones para instalar el parche que la resuelve, en el aviso publicado por Citrix en: http://support.citrix.com/article/CTX108208