Prejsť na obsah
Centoculus
sk

Bezpečnostné upozornenie · Kritická

Citrix NetScaler ADC a Gateway: kritické chyby pamäte umožňujú odmietnutie služby (CVE-2026-120868)

· 4 minúty čítania · Centoculus Security Team

Známe od

Dotknuté: NetScaler ADC a NetScaler Gateway pred 14.1-73.57 a 13.1-64.39; NetScaler ADC 14.1-FIPS pred 14.1-73.58; 13.1-FIPS/13.1-NDcPP pred 13.1-37.293

Čo sa stalo

Dňa 13. novembra 2026 Citrix zverejnil bezpečnostné aktualizácie pre NetScaler ADC a NetScaler Gateway (bezpečnostné hlásenie CTX697305). Najširšie relevantnou chybou je CVE-2026-120868 (CVSS 9.3). Ide o pretečenie pamäte pri spracovaní paketov, ktoré môže viesť k nepredvídateľnému alebo chybnému správaniu či odmietnutiu služby (DoS). Podľa hlásenia ovplyvňuje všetky nasadenia NetScaler ADC a NetScaler Gateway bez ohľadu na ich konfiguráciu.

Tatoto verzia opravuje ešte osem kritických chýb pamäte. Každá z nich je dôležitá len vtedy, ak je nakonfigurovaná určitá funkcia:

  • CVE-2026-107407 (CVSS 9.3): pretečenie pamäte pri premávke SMPP. Ovplyvňuje virtuálne servery Load Balancing alebo Content Switching typu SMPP.
  • CVE-2026-107408 (CVSS 9.3): poškodenie pamäte v DNS / DNS-over-HTTPS. Ovplyvňuje zariadenia nakonfigurované na DNS load balancing a rekurzívne overovanie DNS.
  • CVE-2026-107409 (CVSS 9.3): poškodenie pamäte v DNS-over-HTTPS. Ovplyvňuje DNS load balancing cez HTTPS.
  • CVE-2026-107410 (CVSS 9.3): pretečenie pamäte v NetScaler Push. Ovplyvňuje virtuálne servery Load Balancing typu PUSH.
  • CVE-2026-107412 (CVSS 9.5): viacnásobné pretečenia pamäte. Ovplyvňuje zariadenia nakonfigurované ako virtuálny server Gateway alebo AAA.
  • CVE-2026-107415 (CVSS 9.3): pretečenie pamäte pri overovaní Email OTP. Ovplyvňuje konfigurácie s Email Action.
  • CVE-2026-111344 (CVSS 9.3): pretečenie pamäte v Endpoint Analysis (EPA/EPAS). Ovplyvňuje virtuálne servery VPN alebo AAA, ktoré používajú Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): pretečenie pamäte v ICA proxy. Ovplyvňuje virtuálne servery Gateway VPN, AAA alebo CR (typ HDX).

Všetky tieto chyby môžu viesť k nepredvídateľnému správaniu alebo odmietnutiu služby. V čase zverejnenia Citrix uviedol, že nepozná žiadne zneužitia týchto zraniteľností. CISA ich neuvádza ako zneužité.

Tom istom dni Citrix opravil aj tri chyby v iných produktoch, každú vo vlastnom hlásení:

  • CVE-2026-120869 (CVSS 9.4): obídenie autentifikácie v NetScaler Console. Opravené vo verzii 14.1-74.34 a novšej.
  • CVE-2026-118268: eskalácia oprávnení na SYSTEM v Secure Access Client pre Windows. Opravené vo verzii 26.11.1.6 a novšej.
  • CVE-2026-118269: eskalácia oprávnení na root v Secure Access Client pre Linux. Opravené vo verzii 26.10.4 a novšej.

Koho sa to týka

CVE-2026-120868 sa vás týka, ak prevádzkujete NetScaler ADC alebo NetScaler Gateway staršie ako tieto opravené verzie:

  • NetScaler ADC a NetScaler Gateway 14.1: opravené vo verzii 14.1-73.57 a novšej
  • NetScaler ADC a NetScaler Gateway 13.1: opravené vo verzii 13.1-64.39 a novších vydaniach 13.1
  • NetScaler ADC 14.1-FIPS: opravené vo verzii 14.1-73.58 FIPS a novších vydaniach 14.1-FIPS
  • NetScaler ADC 13.1-FIPS a 13.1-NDcPP: opravené vo verzii 13.1-37.293 a novších vydaniach 13.1-FIPS a 13.1-NDcPP

Ostatných osem chýb NetScaler ADC a Gateway sa uplatní len vtedy, ak je funkcia uvedená vedľa nich nakonfigurovaná. CVE-2026-120868 nezávisí od konfigurácie, takže každé zariadenie s verziou nižšou ako opravená potrebuje aktualizáciu.

Systémy, ktoré nepoužívajú NetScaler, nie sú ovplyvnené: bežné webové servery, poštové servery alebo hostingové panely. Ak používate len NetScaler Console alebo Secure Access Client, pozrite si samostatné hlásenia Citrixu pre tieto produkty.

Čo urobiť teraz

  1. Zostavte zoznam všetkých inštancií NetScaler ADC a NetScaler Gateway vrátane párov HA, VPX inštancií v cloude a zariadení, ktoré prevádzkujete pre zákazníkov.
  2. Pred aktualizáciou zálohujte konfiguráciu každej inštancie (ns.conf).
  3. Aktualizujte na 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS alebo 13.1-37.293 (FIPS/NDcPP), prípadne na novšie vydanie vašej vetvy. Pri pároch HA najprv aktualizujte sekundárny uzol, prepnite sa na neho a potom aktualizujte pôvodný primárny uzol.
  4. Po reštarte overte, že virtuálne servery bežia a že prihlasovanie do Gateway, VPN a autentifikácie funguje.
  5. Ak používate NetScaler Console, aktualizujte ju na 14.1-74.34 alebo novšiu verziu. Aktualizujte inštalácie Secure Access Client na Windows (26.11.1.6) a Linux (26.10.4).
  6. Ak nemôžete aktualizovať okamžite, obmedzte prístup k správcovským rozhraniam na dôveryhodné siete a sledujte zariadenia kvôli neočakávaným reštartom alebo pádom, kým nebude aktualizácia nainštalovaná.

Ako overiť, či ste ovplyvnení

Nainštalovanú zostavu skontrolujte v správcovskom grafickom rozhraní alebo príkazom CLI show ns version. Ak je zostava nižšia ako opravená verzia pre vašu vetvu, zariadenie je zraniteľné voči CVE-2026-120868. Či sa uplatňujú ostatné chyby, zistíte porovnaním konfigurácie s podmienkami uvedenými vyššie, napríklad virtuálne servery SMPP alebo PUSH, DNS load balancing, virtuálne servery Gateway/AAA, Email OTP, Endpoint Analysis alebo ICA proxy. Úplné podrobnosti nájdete v hlásení Citrixu CTX697305.

Zdroje

Ďalšie zdroje (2)

Súvisiace články