Przejdź do treści
Centoculus
pl

Alert bezpieczeństwa · Krytyczna

Citrix NetScaler ADC i Gateway: krytyczne błędy pamięci umożliwiają odmowę usługi (CVE-2026-120868)

· 4 minuty czytania · Centoculus Security Team

Znana od

Dotyczy: NetScaler ADC i NetScaler Gateway przed 14.1-73.57 oraz 13.1-64.39; NetScaler ADC 14.1-FIPS przed 14.1-73.58; 13.1-FIPS/13.1-NDcPP przed 13.1-37.293

Co się stało

13 listopada 2026 Citrix opublikował aktualizacje zabezpieczeń dla NetScaler ADC i NetScaler Gateway (zalecenie CTX697305). Najszerzej dotyczącym błędem jest CVE-2026-120868 (CVSS 9.3). Jest to przepełnienie pamięci w przetwarzaniu pakietów, które może prowadzić do nieprzewidywalnego lub błędnego działania albo do odmowy usługi (DoS). Według zalecenia dotyczy ono wszystkich wdrożeń NetScaler ADC i NetScaler Gateway, niezależnie od ich konfiguracji.

To samo wydanie usuwa osiem kolejnych krytycznych błędów pamięci. Każdy z nich ma znaczenie tylko wtedy, gdy skonfigurowana jest określona funkcja:

  • CVE-2026-107407 (CVSS 9.3): przepełnienie pamięci w ruchu SMPP. Dotyczy serwerów wirtualnych Load Balancing lub Content Switching typu SMPP.
  • CVE-2026-107408 (CVSS 9.3): uszkodzenie pamięci w DNS / DNS-over-HTTPS. Dotyczy urządzeń skonfigurowanych do równoważenia obciążenia DNS i rekursywnego rozpoznawania DNS.
  • CVE-2026-107409 (CVSS 9.3): uszkodzenie pamięci w DNS-over-HTTPS. Dotyczy równoważenia obciążenia DNS przez HTTPS.
  • CVE-2026-107410 (CVSS 9.3): przepełnienie pamięci w NetScaler Push. Dotyczy serwerów wirtualnych Load Balancing typu PUSH.
  • CVE-2026-107412 (CVSS 9.5): wiele przepełnień pamięci. Dotyczy urządzeń skonfigurowanych jako serwer wirtualny Gateway lub AAA.
  • CVE-2026-107415 (CVSS 9.3): przepełnienie pamięci w uwierzytelnianiu Email OTP. Dotyczy konfiguracji z Email Action.
  • CVE-2026-111344 (CVSS 9.3): przepełnienie pamięci w Endpoint Analysis (EPA/EPAS). Dotyczy serwerów wirtualnych VPN lub AAA korzystających z Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): przepełnienie pamięci w proxy ICA. Dotyczy serwerów wirtualnych Gateway VPN, AAA lub CR (typu HDX).

Wszystkie te błędy mogą prowadzić do nieprzewidywalnego działania lub odmowy usługi. W chwili publikacji Citrix poinformował, że nie zna żadnych exploitów wykorzystujących te podatności. CISA nie wymienia ich jako wykorzystywanych.

Tego samego dnia Citrix usunął także trzy błędy w innych produktach, każdy w osobnym zaleceniu:

  • CVE-2026-120869 (CVSS 9.4): obejście uwierzytelniania w NetScaler Console. Naprawiono w wersji 14.1-74.34 i nowszych.
  • CVE-2026-118268: podniesienie uprawnień do SYSTEM w Secure Access Client dla Windows. Naprawiono w wersji 26.11.1.6 i nowszych.
  • CVE-2026-118269: podniesienie uprawnień do root w Secure Access Client dla Linux. Naprawiono w wersji 26.10.4 i nowszych.

Kto jest narażony

Narażone na CVE-2026-120868 są instalacje NetScaler ADC lub NetScaler Gateway w wersjach starszych niż poniższe wersje naprawcze:

  • NetScaler ADC i NetScaler Gateway 14.1: naprawiono w 14.1-73.57 i nowszych
  • NetScaler ADC i NetScaler Gateway 13.1: naprawiono w 13.1-64.39 i nowszych wydaniach gałęzi 13.1
  • NetScaler ADC 14.1-FIPS: naprawiono w 14.1-73.58 FIPS i nowszych wydaniach gałęzi 14.1-FIPS
  • NetScaler ADC 13.1-FIPS i 13.1-NDcPP: naprawiono w 13.1-37.293 i nowszych wydaniach gałęzi 13.1-FIPS oraz 13.1-NDcPP

Pozostałe osiem błędów NetScaler ADC i Gateway dotyczy tylko wtedy, gdy skonfigurowana jest wskazana obok nich funkcja. CVE-2026-120868 nie zależy od konfiguracji, więc każde urządzenie poniżej wersji naprawczych wymaga aktualizacji.

Systemy, na których nie działa NetScaler, nie są dotknięte: zwykłe serwery WWW, serwery pocztowe czy panele hostingowe. Jeśli korzystasz wyłącznie z NetScaler Console lub Secure Access Client, zapoznaj się z osobnymi zaleceniami Citrix dla tych produktów.

Co należy zrobić teraz

  1. Należy spisać wszystkie instancje NetScaler ADC i NetScaler Gateway, w tym pary HA, instancje VPX w chmurze oraz urządzenia obsługiwane dla klientów.
  2. Przed aktualizacją warto wykonać kopię zapasową konfiguracji każdej instancji (ns.conf).
  3. Należy zaktualizować do 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS lub 13.1-37.293 (FIPS/NDcPP) albo do nowszego wydania właściwej gałęzi. W parach HA najpierw należy zaktualizować węzeł zapasowy, wykonać przełączenie awaryjne, a następnie zaktualizować dotychczasowy węzeł główny.
  4. Po ponownym uruchomieniu należy sprawdzić, czy serwery wirtualne działają oraz czy logowania Gateway, VPN i uwierzytelniania przebiegają poprawnie.
  5. Jeśli korzystasz z NetScaler Console, należy zaktualizować ją do wersji 14.1-74.34 lub nowszej. Instalacje Secure Access Client należy zaktualizować w systemie Windows (26.11.1.6) i Linux (26.10.4).
  6. Jeśli aktualizacja nie jest możliwa od razu, warto ograniczyć dostęp do interfejsów zarządzania do zaufanych sieci i obserwować urządzenia pod kątem nieoczekiwanych restartów lub awarii do czasu zainstalowania poprawki.

Jak sprawdzić, czy jesteś narażony

Wersję zainstalowanego builda można sprawdzić w graficznym interfejsie zarządzania lub poleceniem CLI show ns version. Jeśli build jest niższy niż wersja naprawcza dla danej gałęzi, urządzenie jest podatne na CVE-2026-120868. Aby ustalić, czy dotyczą go pozostałe błędy, należy porównać konfigurację z opisanymi wyżej warunkami, na przykład z serwerami wirtualnymi SMPP lub PUSH, równoważeniem obciążenia DNS, serwerami wirtualnymi Gateway/AAA, Email OTP, Endpoint Analysis lub proxy ICA. Pełne szczegóły znajdują się w zaleceniu Citrix CTX697305.

Źródła

Więcej źródeł (2)

Powiązane wpisy