Siirry sisältöön
Centoculus
fi

Tietoturvahälytys · Kriittinen

Citrix NetScaler ADC ja Gateway: kriittiset muistivirheet mahdollistavat palvelunestohyökkäyksen (CVE-2026-120868)

· 3 minuutin lukuaika · Centoculus Security Team

Tiedossa alkaen

Koskee: NetScaler ADC ja NetScaler Gateway ennen versiota 14.1-73.57 ja 13.1-64.39; NetScaler ADC 14.1-FIPS ennen versiota 14.1-73.58; 13.1-FIPS/13.1-NDcPP ennen versiota 13.1-37.293

Mitä tapahtui

  1. marraskuuta 2026 Citrix julkaisi tietoturvapäivitykset NetScaler ADC:lle ja NetScaler Gatewaylle (neuvonta CTX697305). Laajimmin merkityksellinen virhe on CVE-2026-120868 (CVSS 9.3). Kyseessä on muistiylivuoto paketinkäsittelyssä, joka voi johtaa ennakoimattomaan tai virheelliseen toimintaan tai palvelunestoon (DoS). Neuvonnan mukaan se koskee kaikkia NetScaler ADC- ja NetScaler Gateway -käyttöönottoja konfiguraatiosta riippumatta.

Sama julkaisu korjaa kahdeksan muuta kriittistä muistivirhettä. Kukin näistä on merkityksellinen vain, jos tietty ominaisuus on määritetty:

  • CVE-2026-107407 (CVSS 9.3): muistiylivuoto SMPP-liikenteessä. Koskee SMPP-tyypin Load Balancing- tai Content Switching -virtuaalipalvelimia.
  • CVE-2026-107408 (CVSS 9.3): muistin korruptio DNS:ssä / DNS-over-HTTPS:ssä. Koskee laitteita, jotka on määritetty DNS-kuormituksen tasapainotukseen ja rekursiiviseen DNS-selvitykseen.
  • CVE-2026-107409 (CVSS 9.3): muistin korruptio DNS-over-HTTPS:ssä. Koskee DNS-kuormituksen tasapainotusta HTTPS:n yli.
  • CVE-2026-107410 (CVSS 9.3): muistiylivuoto NetScaler Pushissa. Koskee PUSH-tyypin Load Balancing -virtuaalipalvelimia.
  • CVE-2026-107412 (CVSS 9.5): useita muistiylivuotoja. Koskee laitteita, jotka on määritetty Gateway- tai AAA-virtuaalipalvelimiksi.
  • CVE-2026-107415 (CVSS 9.3): muistiylivuoto Email OTP -todennuksessa. Koskee määrityksiä, joissa on Email Action.
  • CVE-2026-111344 (CVSS 9.3): muistiylivuoto Endpoint Analysis -toiminnossa (EPA/EPAS). Koskee VPN- tai AAA-virtuaalipalvelimia, jotka käyttävät Endpoint Analysis -toimintoa.
  • CVE-2026-120864 (CVSS 9.3): muistiylivuoto ICA-proxyssa. Koskee Gateway VPN-, AAA- tai CR-virtuaalipalvelimia (tyyppi HDX).

Kaikki nämä voivat johtaa ennakoimattomaan toimintaan tai palvelunestoon. Julkaisuhetkellä Citrix ilmoitti, ettei sillä ole tietoa hyödyntämisestä näihin haavoittuvuuksiin. CISA ei listaa niitä hyödynnetyiksi.

Samana päivänä Citrix korjasi myös kolme virhettä muissa tuotteissa, kukin omassa neuvonnassaan:

  • CVE-2026-120869 (CVSS 9.4): todennuksen ohitus NetScaler Consolessa. Korjattu versiossa 14.1-74.34 ja myöhemmissä.
  • CVE-2026-118268: oikeuksien korotus SYSTEM-tasolle Secure Access Client for Windows -ohjelmassa. Korjattu versiossa 26.11.1.6 ja myöhemmissä.
  • CVE-2026-118269: oikeuksien korotus rootiksi Secure Access Client for Linux -ohjelmassa. Korjattu versiossa 26.10.4 ja myöhemmissä.

Keneen tämä vaikuttaa

Olet haavoittuvainen CVE-2026-120868:lle, jos käytät NetScaler ADC:tä tai NetScaler Gatewayta, joka on näitä korjattuja julkaisuja vanhempi:

  • NetScaler ADC ja NetScaler Gateway 14.1: korjattu versiossa 14.1-73.57 ja myöhemmissä
  • NetScaler ADC ja NetScaler Gateway 13.1: korjattu versiossa 13.1-64.39 ja 13.1:n myöhemmissä julkaisuissa
  • NetScaler ADC 14.1-FIPS: korjattu versiossa 14.1-73.58 FIPS ja 14.1-FIPS:n myöhemmissä julkaisuissa
  • NetScaler ADC 13.1-FIPS ja 13.1-NDcPP: korjattu versiossa 13.1-37.293 ja 13.1-FIPS:n sekä 13.1-NDcPP:n myöhemmissä julkaisuissa

Muut kahdeksan NetScaler ADC- ja Gateway-virhettä koskevat vain, jos niiden vieressä mainittu ominaisuus on määritetty. CVE-2026-120868 ei riipu määrityksestä, joten jokainen alle korjattujen versioiden laite tarvitsee päivityksen.

Järjestelmät, joissa ei ole NetScaler-tuotteita, eivät ole haavoittuvia: tavalliset web-palvelimet, postipalvelimet tai hosting-paneelit. Jos käytät vain NetScaler Consolea tai Secure Access Clientia, katso näiden tuotteiden erilliset Citrixin neuvonnat.

Mitä kannattaa tehdä nyt

  1. Listaa kaikki NetScaler ADC- ja NetScaler Gateway -instanssit, mukaan lukien HA-parit, pilvessä olevat VPX-instanssit ja asiakkaille ylläpitämäsi laitteet.
  2. Varmuuskopioi kunkin instanssin konfiguraatio (ns.conf) ennen päivitystä.
  3. Päivitä versioon 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS tai 13.1-37.293 (FIPS/NDcPP) tai haarasi myöhempään julkaisuun. HA-pareissa päivitä ensin toissijainen solmu, tee failover ja päivitä sen jälkeen entinen ensisijainen solmu.
  4. Uudelleenkäynnistyksen jälkeen tarkista, että virtuaalipalvelimet ovat käynnissä ja että Gateway-, VPN- ja todennuskirjautumiset toimivat.
  5. Jos käytät NetScaler Consolea, päivitä se versioon 14.1-74.34 tai myöhempään. Päivitä Secure Access Client -asennukset Windowsissa (26.11.1.6) ja Linuxissa (26.10.4).
  6. Jos et voi päivittää heti, rajoita hallintaliittymien käyttö luotettuihin verkkoihin ja seuraa laitteita odottamattomien uudelleenkäynnistysten tai kaatumisten varalta, kunnes päivitys on asennettu.

Miten tarkistat, oletko haavoittuvainen

Tarkista asennettu build hallintakäyttöliittymästä tai CLI-komennolla show ns version. Jos build on pienempi kuin haarasi korjattu versio, laite on haavoittuva CVE-2026-120868:lle. Selvittääksesi, koskevatko muut virheet myös sinua, vertaa konfiguraatiotasi yllä oleviin ehtoihin, esimerkiksi SMPP- tai PUSH-virtuaalipalvelimiin, DNS-kuormituksen tasapainotukseen, Gateway/AAA-virtuaalipalvelimiin, Email OTP:hen, Endpoint Analysis -toimintoon tai ICA-proxyyn. Citrixin neuvonta CTX697305 sisältää täydet tiedot.

Lähteet

Lisää lähteitä (2)

Aiheeseen liittyvät artikkelit