Petko D. Petkov (aussi connu sous le pseudo PDP), un chercheur à GNU Citizen, a posté dans son blog un compte rendu de vulnérabilités trouvées en testant les passerelles Citrix.

« Internet est peuplé de passerelles Citrix complètement ouvertes. C’est de la folie ! Alors que je procédais à des tests Citrix, je me suis bien amusé à hacker les GUIs, jeu assez trivial. J’ai aussi testé des fichiers .ICA afin de m’assurer que les clients ne sont pas affectés par divers vulnérabilités basiques. Ce test m’a conduit à reconsidérer de nombreuses choses sur ICA (Independent Computing Architecture). Une recherche sur Google de .ICA publics m’a sorti des tas de services complètement ouverts, certains d’entre eux hébergés sur des domaines en .gov et .mil ».

Il ajoute:

« Juste en cherchant sur Google, j’ai trouvé 114 instances Citrix accessibles: 10 .gov, 4.mil, 20 .edu, 27.com, etc… Parmi les services découverts, il y avait plusieurs applications critiques ».

Son post complet sur son blog ;

http://www.gnucitizen.org/blog/citrix-owning-the-legitimate-backdoor/