Naar de inhoud
Centoculus
nl

Beveiligingsmelding · Kritiek

Citrix NetScaler ADC en Gateway: kritieke geheugenfouten maken denial of service mogelijk (CVE-2026-120868)

· 4 minuten leestijd · Centoculus Security Team

Bekend sinds

Getroffen: NetScaler ADC en NetScaler Gateway vóór 14.1-73.57 en 13.1-64.39; NetScaler ADC 14.1-FIPS vóór 14.1-73.58; 13.1-FIPS/13.1-NDcPP vóór 13.1-37.293

Wat er is gebeurd

Op 13 november 2026 heeft Citrix beveiligingsupdates gepubliceerd voor NetScaler ADC en NetScaler Gateway (advisory CTX697305). De breed relevante fout is CVE-2026-120868 (CVSS 9.3). Het gaat om een geheugenoverloop in de pakketverwerking die kan leiden tot onvoorspelbaar of foutief gedrag of een denial of service (DoS). Volgens het advies raakt dit alle NetScaler ADC- en NetScaler Gateway-implementaties, ongeacht hun configuratie.

Dezelfde release verhelpt acht kritieke geheugenfouten tttot. Elk van deze is alleen van belang als een bepaalde functie is geconfigureerd:

  • CVE-2026-107407 (CVSS 9.3): geheugenoverloop in SMPP-verkeer. Raakt Load Balancing- of Content Switching-virtuele servers van het type SMPP.
  • CVE-2026-107408 (CVSS 9.3): geheugencorruptie in DNS / DNS-over-HTTPS. Raakt appliances die zijn geconfigureerd voor DNS-loadbalancing en recursieve DNS-resolutie.
  • CVE-2026-107409 (CVSS 9.3): geheugencorruptie in DNS-over-HTTPS. Raakt DNS-loadbalancing via HTTPS.
  • CVE-2026-107410 (CVSS 9.3): geheugenoverloop in NetScaler Push. Raakt Load Balancing-virtuele servers van het type PUSH.
  • CVE-2026-107412 (CVSS 9.5): meerdere geheugenoverlopen. Raakt appliances die zijn geconfigureerd als Gateway- of AAA-virtuele server.
  • CVE-2026-107415 (CVSS 9.3): geheugenoverloop in e-mail-OTP-authenticatie. Raakt configuraties met een e-mailactie.
  • CVE-2026-111344 (CVSS 9.3): geheugenoverloop in Endpoint Analysis (EPA/EPAS). Raakt VPN- of AAA-virtuele servers die Endpoint Analysis gebruiken.
  • CVE-2026-120864 (CVSS 9.3): geheugenoverloop in de ICA-proxy. Raakt Gateway VPN-, AAA- of CR-virtuele servers (type HDX).

Alle hiervan kunnen leiden tot onvoorspelbaar gedrag of een denial of service. Op het moment van publicatie meldde Citrix dat het niet op de hoogte was van exploits voor deze kwetsbaarheden. CISA vermeldt ze niet als actief misbruikt.

Op dezelfde dag heeft Citrix ook drie fouten in andere producten verholpen, elk in een eigen advies:

  • CVE-2026-120869 (CVSS 9.4): een authenticatie-omzeiling in NetScaler Console. Verholpen in 14.1-74.34 en later.
  • CVE-2026-118268: privilegie-escalatie naar SYSTEM in Secure Access Client voor Windows. Verholpen in 26.11.1.6 en later.
  • CVE-2026-118269: privilegie-escalatie naar root in Secure Access Client voor Linux. Verholpen in 26.10.4 en later.

Wie is getroffen

U bent getroffen door CVE-2026-120868 als u NetScaler ADC of NetScaler Gateway draait die ouder is dan deze verholpen releases:

  • NetScaler ADC en NetScaler Gateway 14.1: verholpen in 14.1-73.57 en later
  • NetScaler ADC en NetScaler Gateway 13.1: verholpen in 13.1-64.39 en latere releases van 13.1
  • NetScaler ADC 14.1-FIPS: verholpen in 14.1-73.58 FIPS en latere releases van 14.1-FIPS
  • NetScaler ADC 13.1-FIPS en 13.1-NDcPP: verholpen in 13.1-37.293 en latere releases van 13.1-FIPS en 13.1-NDcPP

De overige acht NetScaler ADC- en Gateway-fouten gelden alleen als de functie die ernaast wordt genoemd is geconfigureerd. CVE-2026-120868 hangt niet af van de configuratie, dus elke appliance onder de verholpen versies heeft de update nodig.

Systemen die geen NetScaler draaien, zijn niet getroffen: gewone webservers, mailservers of hostingpanelen. Als u alleen NetScaler Console of de Secure Access Client gebruikt, raadpleeg dan de afzonderlijke Citrix-adviezen voor die producten.

Wat u nu moet doen

  1. Maak een lijst van alle NetScaler ADC- en NetScaler Gateway-instanties, inclusief HA-paren, VPX-instanties in de cloud en appliances die u voor klanten beheert.
  2. Maak een back-up van de configuratie van elke instantie (ns.conf) voordat u upgradet.
  3. Upgrade naar 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS of 13.1-37.293 (FIPS/NDcPP), of een latere release van uw tak. Upgrade bij HA-paren eerst de secundaire node, schakel over naar de andere node en upgrade daarna de voormalige primaire node.
  4. Controleer na de herstart of de virtuele servers actief zijn en of aanmeldingen voor Gateway, VPN en authenticatie werken.
  5. Als u NetScaler Console gebruikt, update dan naar 14.1-74.34 of later. Werk Secure Access Client-installaties op Windows (26.11.1.6) en Linux (26.10.4) bij.
  6. Als u niet direct kunt upgraden, beperk dan de toegang tot beheerinterfaces tot vertrouwde netwerken en houd de appliances in de gaten op onverwachte herstarts of crashes totdat de update is geïnstalleerd.

Hoe u kunt controleren of u getroffen bent

Controleer de geïnstalleerde build in de beheer-GUI of met het CLI-commando show ns version. Als de build lager is dan de verholpen versie voor uw tak, is de appliance kwetsbaar voor CVE-2026-120868. Om te zien of de overige fouten ook gelden, vergelijkt u uw configuratie met de bovenstaande voorwaarden, bijvoorbeeld SMPP- of PUSH-virtuele servers, DNS-loadbalancing, Gateway/AAA-virtuele servers, e-mail-OTP, Endpoint Analysis of de ICA-proxy. Het Citrix-advies CTX697305 bevat alle details.

Bronnen

Meer bronnen (2)

Meer artikelen