Gå til indholdet
Centoculus
da

Sikkerhedsadvarsel · Kritisk

Citrix NetScaler ADC og Gateway: kritiske hukommelsesfejl tillader denial of service (CVE-2026-120868)

· 4 minutters læsning · Centoculus Security Team

Kendt siden

Berørt: NetScaler ADC og NetScaler Gateway før 14.1-73.57 og 13.1-64.39; NetScaler ADC 14.1-FIPS før 14.1-73.58; 13.1-FIPS/13.1-NDcPP før 13.1-37.293

Hvad skete der

Den 13. november 2026 udgav Citrix sikkerhedsopdateringer til NetScaler ADC og NetScaler Gateway (advisory CTX697305). Den mest generelt relevante fejl er CVE-2026-120868 (CVSS 9.3). Det er et hukommelsesoverløb i pakkebehandlingen, som kan føre til uforudsigelig eller fejlagtig adfærd eller til et denial of service (DoS). Ifølge advisoryen påvirker den alle NetScaler ADC- og NetScaler Gateway-installationer, uanset konfiguration.

Den samme udgivelse retter otte yderligere kritiske hukommelsesfejl. Hver af dem har kun betydning, hvis en bestemt funktion er konfigureret:

  • CVE-2026-107407 (CVSS 9.3): hukommelsesoverløb i SMPP-trafik. Påvirker Load Balancing- eller Content Switching-virtuelle servere af typen SMPP.
  • CVE-2026-107408 (CVSS 9.3): hukommelseskorruption i DNS / DNS-over-HTTPS. Påvirker appliances konfigureret til DNS-load balancing og rekursiv DNS-opløsning.
  • CVE-2026-107409 (CVSS 9.3): hukommelseskorruption i DNS-over-HTTPS. Påvirker DNS-load balancing over HTTPS.
  • CVE-2026-107410 (CVSS 9.3): hukommelsesoverløb i NetScaler Push. Påvirker Load Balancing-virtuelle servere af typen PUSH.
  • CVE-2026-107412 (CVSS 9.5): flere hukommelsesoverløb. Påvirker appliances konfigureret som Gateway- eller AAA-virtuel server.
  • CVE-2026-107415 (CVSS 9.3): hukommelsesoverløb i Email OTP-autentificering. Påvirker konfigurationer med en Email Action.
  • CVE-2026-111344 (CVSS 9.3): hukommelsesoverløb i Endpoint Analysis (EPA/EPAS). Påvirker VPN- eller AAA-virtuelle servere, der bruger Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): hukommelsesoverløb i ICA-proxyen. Påvirker Gateway VPN-, AAA- eller CR-virtuelle servere (type HDX).

Alle disse kan føre til uforudsigelig adfærd eller et denial of service. Da artiklen blev publiceret, oplyste Citrix, at de ikke kendte til udnyttelser af disse sårbarheder. CISA lister dem ikke som udnyttet.

Samme dag rettede Citrix også tre fejl i andre produkter, hver i sin egen advisory:

  • CVE-2026-120869 (CVSS 9.4): en autentifikationsomgåelse i NetScaler Console. Rettet i 14.1-74.34 og senere.
  • CVE-2026-118268: privilegie-eskalering til SYSTEM i Secure Access Client for Windows. Rettet i 26.11.1.6 og senere.
  • CVE-2026-118269: privilegie-eskalering til root i Secure Access Client for Linux. Rettet i 26.10.4 og senere.

Hvem er berørt

Du er berørt af CVE-2026-120868, hvis du kører NetScaler ADC eller NetScaler Gateway ældre end disse rettede udgivelser:

  • NetScaler ADC og NetScaler Gateway 14.1: rettet i 14.1-73.57 og senere
  • NetScaler ADC og NetScaler Gateway 13.1: rettet i 13.1-64.39 og senere udgivelser af 13.1
  • NetScaler ADC 14.1-FIPS: rettet i 14.1-73.58 FIPS og senere udgivelser af 14.1-FIPS
  • NetScaler ADC 13.1-FIPS og 13.1-NDcPP: rettet i 13.1-37.293 og senere udgivelser af 13.1-FIPS og 13.1-NDcPP

De øvrige otte NetScaler ADC- og Gateway-fejl gælder kun, hvis den funktion, der er nævnt ved siden af dem, er konfigureret. CVE-2026-120868 afhænger ikke af konfiguration, så alle appliances under de rettede versioner skal opdateres.

Systemer, der ikke kører NetScaler, er ikke berørt: almindelige webservere, mailservere eller hostingpaneler. Hvis du kun bruger NetScaler Console eller Secure Access Client, se de separate Citrix-advisories for disse produkter.

Hvad du skal gøre nu

  1. Lav en liste over alle NetScaler ADC- og NetScaler Gateway-instanser, herunder HA-par, VPX-instanser i skyen og appliances, du kører for kunder.
  2. Tag en backup af konfigurationen på hver instans (ns.conf), før du opgraderer.
  3. Opgrader til 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS eller 13.1-37.293 (FIPS/NDcPP), eller til en senere udgivelse i din gren. I HA-par opgraderer du den sekundære node først, laver failover og opgraderer derefter den tidligere primære.
  4. Efter genstarten skal du kontrollere, at de virtuelle servere er oppe, og at Gateway-, VPN- og autentifikationslogins virker.
  5. Hvis du bruger NetScaler Console, opdater den til 14.1-74.34 eller senere. Opdater Secure Access Client-installationer på Windows (26.11.1.6) og Linux (26.10.4).
  6. Hvis du ikke kan opgradere med det samme, så begræns adgangen til administrationsgrænseflader til betroede netværk, og hold øje med appliances for uventede genstarter eller nedbrud, indtil opdateringen er installeret.

Sådan tjekker du, om du er berørt

Tjek den installerede build i management-GUI'en eller med CLI-kommandoen show ns version. Hvis buildet er lavere end den rettede version for din gren, er appliancen sårbar over for CVE-2026-120868. For at se, om de øvrige fejl også gælder, skal du sammenligne din konfiguration med betingelserne ovenfor, for eksempel SMPP- eller PUSH-virtuelle servere, DNS-load balancing, Gateway/AAA-virtuelle servere, Email OTP, Endpoint Analysis eller ICA-proxy. Citrix' advisory CTX697305 indeholder alle detaljer.

Kilder

Flere kilder (2)

Relaterede indlæg