Preskoči na sadržaj
Centoculus
hr

Sigurnosno upozorenje · Kritična

Citrix NetScaler ADC i Gateway: kritični propusti u memoriji omogućuju uskraćivanje usluge (CVE-2026-120868)

· Vrijeme čitanja: 4 min · Centoculus Security Team

Poznato od

Pogođeno: NetScaler ADC i NetScaler Gateway prije 14.1-73.57 i 13.1-64.39; NetScaler ADC 14.1-FIPS prije 14.1-73.58; 13.1-FIPS/13.1-NDcPP prije 13.1-37.293

Što se dogodilo

Dana 13. studenoga 2026. Citrix je objavio sigurnosna ažuriranja za NetScaler ADC i NetScaler Gateway (savjet CTX697305). Najšire relevantan propust je CVE-2026-120868 (CVSS 9.3). Riječ je o prekoračenju memorije pri obradi paketa koje može dovesti do nepredvidivog ili pogrešnog ponašanja ili do uskraćivanja usluge (DoS). Prema savjetu, pogađa sve instalacije NetScaler ADC i NetScaler Gateway, bez obzira na konfiguraciju.

Isto izdanje ispravlja još osam kritičnih propusta u memoriji. Svaki od njih važan je samo ako je konfigurirana određena značajka:

  • CVE-2026-107407 (CVSS 9.3): prekoračenje memorije u SMPP prometu. Pogađa virtualne poslužitelje za uravnoteženje opterećenja ili preklapanje sadržaja tipa SMPP.
  • CVE-2026-107408 (CVSS 9.3): oštećenje memorije u DNS / DNS-over-HTTPS. Pogađa uređaje konfigurirane za uravnoteženje opterećenja DNS-a i rekurzivno razrješavanje DNS-a.
  • CVE-2026-107409 (CVSS 9.3): oštećenje memorije u DNS-over-HTTPS. Pogađa uravnoteženje opterećenja DNS-a preko HTTPS-a.
  • CVE-2026-107410 (CVSS 9.3): prekoračenje memorije u NetScaler Push. Pogađa virtualne poslužitelje za uravnoteženje opterećenja tipa PUSH.
  • CVE-2026-107412 (CVSS 9.5): više prekoračenja memorije. Pogađa uređaje konfigurirane kao Gateway ili AAA virtualni poslužitelj.
  • CVE-2026-107415 (CVSS 9.3): prekoračenje memorije u autentifikaciji jednokratnom lozinkom putem e-pošte (Email OTP). Pogađa konfiguracije s e-mail akcijom.
  • CVE-2026-111344 (CVSS 9.3): prekoračenje memorije u Endpoint Analysis (EPA/EPAS). Pogađa VPN ili AAA virtualne poslužitelje koji koriste Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): prekoračenje memorije u ICA proxyju. Pogađa virtualne poslužitelje Gateway VPN, AAA ili CR (tip HDX).

Svi ovi propusti mogu dovesti do nepredvidivog ponašanja ili uskraćivanja usluge. U trenutku objave Citrix je naveo da nije svjestan nijednog iskorištavanja tih ranjivosti. CISA ih ne navodi kao iskorištavane.

Istog dana Citrix je ispravio i tri propusta u drugim proizvodima, svaki u vlastitom savjetu:

  • CVE-2026-120869 (CVSS 9.4): zaobilaženje autentifikacije u NetScaler Consoleu. Ispravljeno u verziji 14.1-74.34 i novijima.
  • CVE-2026-118268: eskalacija privilegija na razinu SYSTEM u Secure Access Client za Windows. Ispravljeno u verziji 26.11.1.6 i novijima.
  • CVE-2026-118269: eskalacija privilegija na razinu root u Secure Access Client za Linux. Ispravljeno u verziji 26.10.4 i novijoj.

Tko je pogođen

Pogođeni ste CVE-2026-120868 ako koristite NetScaler ADC ili NetScaler Gateway starije od ovih ispravljenih izdanja:

  • NetScaler ADC i NetScaler Gateway 14.1: ispravljeno u 14.1-73.57 i novijim verzijama
  • NetScaler ADC i NetScaler Gateway 13.1: ispravljeno u 13.1-64.39 i novijim izdanjima 13.1
  • NetScaler ADC 14.1-FIPS: ispravljeno u 14.1-73.58 FIPS i novijim izdanjima 14.1-FIPS
  • NetScaler ADC 13.1-FIPS i 13.1-NDcPP: ispravljeno u 13.1-37.293 i novijim izdanjima 13.1-FIPS i 13.1-NDcPP

Ostalih osam propusta u NetScaler ADC-u i Gatewayu odnosi se samo na značajku navedenu uz njih, ako je konfigurirana. CVE-2026-120868 ne ovisi o konfiguraciji, pa svaki uređaj ispod ispravljenih verzija treba ažuriranje.

Sustavi koji ne koriste NetScaler nisu pogođeni: obični web poslužitelji, poslužitelji e-pošte ili upravljačke ploče za hosting. Ako koristite samo NetScaler Console ili Secure Access Client, pogledajte zasebne Citrixove savjete za te proizvode.

Što učiniti odmah

  1. Popišite sve instance NetScaler ADC-a i NetScaler Gatewaya, uključujући HA parove, VPX instance u oblaku i uređaje koje održavate za klijente.
  2. Prije nadogradnje sigurnosno kopirajte konfiguraciju svake instance (ns.conf).
  3. Nadogradite na 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS ili 13.1-37.293 (FIPS/NDcPP), ili na noviju verziju svoje grane. U HA parovima prvo nadogradite sekundarni čvor, izvršite prebacivanje (failover), a zatim nadogradite bivši primarni čvor.
  4. Nakon ponovnog pokretanja provjerite jesu li virtualni poslužitelji aktivni te rade li prijave za Gateway, VPN i autentifikaciju.
  5. Ako koristite NetScaler Console, ažurirajte ga na 14.1-74.34 ili noviju verziju. Ažurirajte instalacije Secure Access Clienta na Windowsu (26.11.1.6) i Linuxu (26.10.4).
  6. Ako ne možete odmah nadograditi, ograničite pristup upravljačkim sučeljima na pouzdane mreže i pratite uređaje zbog neočekivanih ponovnih pokretanja ili rušenja dok ažuriranje nije instalirano.

Kako provjeriti jeste li pogođeni

Provjerite instaliranu verziju u grafičkom sučelju za upravljanje ili naredbom show ns version u CLI-ju. Ako je verzija niža od ispravljene za vašu granu, uređaj je ranjiv na CVE-2026-120868. Da biste provjerili vrijede li i ostali propusti, usporedite svoju konfiguraciju s gore navedenim uvjetima, primjerice SMPP ili PUSH virtualne poslužitelje, uravnoteženje opterećenja DNS-a, Gateway/AAA virtualne poslužitelje, Email OTP, Endpoint Analysis ili ICA proxy. Potpune pojedinosti nalaze se u Citrixovu savjetu CTX697305.

Izvori

Više izvora (2)

Srodni članci