Přeskočit na obsah
Centoculus
cs

Bezpečnostní upozornění · Kritická

Citrix NetScaler ADC a Gateway: kritické chyby paměti umožňují odmítnutí služby (CVE-2026-120868)

· 4 minuty čtení · Centoculus Security Team

Známo od

Dotčené: NetScaler ADC a NetScaler Gateway před 14.1-73.57 a 13.1-64.39; NetScaler ADC 14.1-FIPS před 14.1-73.58; 13.1-FIPS/13.1-NDcPP před 13.1-37.293

Co se stalo

Dne 13. listopadu 2026 vydal Citrix bezpečnostní aktualizace pro NetScaler ADC a NetScaler Gateway (bezpečnostní hlášení CTX697305). Nejširší dopad má chyba CVE-2026-120868 (CVSS 9.3). Jde o přetečení paměti při zpracování paketů, které může vést k nepředvídatelnému nebo chybnému chování nebo k odmítnutí služby (DoS). Podle hlášení ovlivňuje všechna nasazení NetScaler ADC a NetScaler Gateway bez ohledu na konfiguraci.

Stejné vydání opravuje dalších osm kritických chyb paměti. Každá z nich je relevantní pouze tehdy, pokud je nakonfigurována určitá funkce:

  • CVE-2026-107407 (CVSS 9.3): přetečení paměti v provozu SMPP. Ovlivňuje virtuální servery Load Balancing nebo Content Switching typu SMPP.
  • CVE-2026-107408 (CVSS 9.3): poškození paměti v DNS / DNS-over-HTTPS. Ovlivňuje zařízení nakonfigurovaná pro vyvažování zátěže DNS a rekurzivní překlad DNS.
  • CVE-2026-107409 (CVSS 9.3): poškození paměti v DNS-over-HTTPS. Ovlivňuje vyvažování zátěže DNS přes HTTPS.
  • CVE-2026-107410 (CVSS 9.3): přetečení paměti v NetScaler Push. Ovlivňuje virtuální servery Load Balancing typu PUSH.
  • CVE-2026-107412 (CVSS 9.5): více přetečení paměti. Ovlivňuje zařízení nakonfigurovaná jako virtuální server Gateway nebo AAA.
  • CVE-2026-107415 (CVSS 9.3): přetečení paměti v autentizaci Email OTP. Ovlivňuje konfigurace s Email Action.
  • CVE-2026-111344 (CVSS 9.3): přetečení paměti v Endpoint Analysis (EPA/EPAS). Ovlivňuje virtuální servery VPN nebo AAA, které používají Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): přetečení paměti v ICA proxy. Ovlivňuje virtuální servery Gateway VPN, AAA nebo CR (typu HDX).

Všechny tyto chyby mohou vést k nepředvídatelnému chování nebo k odmítnutí služby. V době zveřejnění Citrix uvedl, že mu nejsou známy žádné útoky zneužívající tyto zranitelnosti. CISA je v seznamu zneužitých zranitelností neuvádí.

Stejného dne Citrix opravil také tři chyby v dalších produktech, každou v samostatném hlášení:

  • CVE-2026-120869 (CVSS 9.4): obejití autentizace v NetScaler Console. Opraveno ve verzi 14.1-74.34 a novějších.
  • CVE-2026-118268: eskalace oprávnění na SYSTEM v Secure Access Client pro Windows. Opraveno ve verzi 26.11.1.6 a novějších.
  • CVE-2026-118269: eskalace oprávnění na root v Secure Access Client pro Linux. Opraveno ve verzi 26.10.4 a novějších.

Koho se to týká

Chyba CVE-2026-120868 se vás týká, pokud provozujete NetScaler ADC nebo NetScaler Gateway starší než tyto opravené verze:

  • NetScaler ADC a NetScaler Gateway 14.1: opraveno ve verzi 14.1-73.57 a novější
  • NetScaler ADC a NetScaler Gateway 13.1: opraveno ve verzi 13.1-64.39 a novějších verzích řady 13.1
  • NetScaler ADC 14.1-FIPS: opraveno ve verzi 14.1-73.58 FIPS a novějších verzích řady 14.1-FIPS
  • NetScaler ADC 13.1-FIPS a 13.1-NDcPP: opraveno ve verzi 13.1-37.293 a novějších verzích řady 13.1-FIPS a 13.1-NDcPP

Ostatních osm chyb NetScaler ADC a Gateway se týká pouze tehdy, pokud je nakonfigurována funkce uvedená u dané chyby. CVE-2026-120868 na konfiguraci nezávisí, takže každé zařízení s verzí nižší než opravená potřebuje aktualizaci.

Systémy, na kterých NetScaler neběží, nejsou ohroženy, například běžné webové servery, poštovní servery nebo hostingové panely. Pokud používáte pouze NetScaler Console nebo Secure Access Client, prostudujte si samostatná hlášení Citrixu pro tyto produkty.

Co udělat hned

  1. Sestavte seznam všech instancí NetScaler ADC a NetScaler Gateway, včetně párů HA, instancí VPX v cloudu a zařízení, která provozujete pro zákazníky.
  2. Před aktualizací zazálohujte konfiguraci každé instance (ns.conf).
  3. Aktualizujte na 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS nebo 13.1-37.293 (FIPS/NDcPP), případně na novější verzi své větve. U párů HA nejprve aktualizujte sekundární uzel, proveďte přepnutí na něj a poté aktualizujte dosavadní primární uzel.
  4. Po restartu ověřte, že virtuální servery běží a že funguje přihlašování do Gateway, VPN a autentizace.
  5. Pokud používáte NetScaler Console, aktualizujte ji na verzi 14.1-74.34 nebo novější. Aktualizujte instalace Secure Access Client na Windows (26.11.1.6) a Linux (26.10.4).
  6. Pokud nemůžete aktualizovat ihned, omezte přístup k rozhraním pro správu na důvěryhodné sítě a sledujte zařízení, zda se neobjevují neočekávané restarty nebo pády, dokud není aktualizace nainstalována.

Jak zjistit, zda jste ohroženi

Instalovanou verzi zkontrolujte v grafickém rozhraní pro správu nebo příkazem show ns version v CLI. Pokud je verze nižší než opravená verze pro vaši větev, zařízení je zranitelné vůči CVE-2026-120868. Abyste zjistili, zda se týkají i ostatní chyby, porovnejte svou konfiguraci s podmínkami výše, například s virtuálními servery SMPP nebo PUSH, vyvažováním zátěže DNS, virtuálními servery Gateway/AAA, Email OTP, Endpoint Analysis nebo ICA proxy. Úplné podrobnosti najdete v hlášení Citrixu CTX697305.

Zdroje

Další zdroje (2)

Související příspěvky