Preskoči na vsebino
Centoculus
sl

Varnostno opozorilo · Kritična

Citrix NetScaler ADC in Gateway: kritične napake v pomnilniku omogočajo zavrnitev storitve (CVE-2026-120868)

· Branje: 4 min · Centoculus Security Team

Znano od

Prizadeto: NetScaler ADC in NetScaler Gateway pred 14.1-73.57 in 13.1-64.39; NetScaler ADC 14.1-FIPS pred 14.1-73.58; 13.1-FIPS/13.1-NDcPP pred 13.1-37.293

Kaj se je zgodilo

Dne 13. novembra 2026 je Citrix objavil varnostne posodobitve za NetScaler ADC in NetScaler Gateway (opozorilo CTX697305). Najširše pomembna napaka je CVE-2026-120868 (CVSS 9.3). Gre za prekoračitev pomnilnika pri obdelavi paketov, ki lahko vodi do nepredvidljivega ali napačnega delovanja ali zavrnitve storitve (DoS). Po navedbah opozorila vpliva na vse namestitve NetScaler ADC in NetScaler Gateway, ne glede na njihovo konfiguracijo.

Ista izdaja odpravlja še osem kritičnih napak v pomnilniku. Vsaka od njih je pomembna le, če je nastavljena določena funkcija:

  • CVE-2026-107407 (CVSS 9.3): prekoračitev pomnilnika v prometu SMPP. Vpliva na navidezne strežnike za uravnoteženje obremenitve ali preklapljanje vsebine tipa SMPP.
  • CVE-2026-107408 (CVSS 9.3): poškodba pomnilnika v DNS / DNS-over-HTTPS. Vpliva na naprave, nastavljene za uravnoteženje obremenitve DNS in rekurzivno razreševanje DNS.
  • CVE-2026-107409 (CVSS 9.3): poškodba pomnilnika v DNS-over-HTTPS. Vpliva na uravnoteženje obremenitve DNS prek HTTPS.
  • CVE-2026-107410 (CVSS 9.3): prekoračitev pomnilnika v NetScaler Push. Vpliva na navidezne strežnike za uravnoteženje obremenitve tipa PUSH.
  • CVE-2026-107412 (CVSS 9.5): več prekoračitev pomnilnika. Vpliva na naprave, nastavljene kot navidezni strežnik Gateway ali AAA.
  • CVE-2026-107415 (CVSS 9.3): prekoračitev pomnilnika v avtentikaciji z enkratnimi gesli po e-pošti (Email OTP). Vpliva na konfiguracije z dejanjem e-pošte (Email Action).
  • CVE-2026-111344 (CVSS 9.3): prekoračitev pomnilnika v Endpoint Analysis (EPA/EPAS). Vpliva na navidezne strežnike VPN ali AAA, ki uporabljajo Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): prekoračitev pomnilnika v ICA proxy. Vpliva na navidezne strežnike Gateway VPN, AAA ali CR (tip HDX).

Vse lahko vodijo do nepredvidljivega delovanja ali zavrnitve storitve. Ob objavi je Citrix sporočil, da ni seznanjen z nobenim izkoriščanjem teh ranljivosti. CISA jih ne uvršča med izkoriščene.

Isti dan je Citrix odpravil tudi tri napake v drugih izdelkih, vsako v svojem opozorilu:

  • CVE-2026-120869 (CVSS 9.4): zaobid avtentikacije v NetScaler Console. Odpravljeno v 14.1-74.34 in novejših.
  • CVE-2026-118268: dvig pravic na SYSTEM v Secure Access Client za Windows. Odpravljeno v 26.11.1.6 in novejših.
  • CVE-2026-118269: dvig pravic na root v Secure Access Client za Linux. Odpravljeno v 26.10.4 in novejših.

Kdo je prizadet

Na CVE-2026-120868 ste vplivani, če uporabljate NetScaler ADC ali NetScaler Gateway starejši od teh popravljenih izdaj:

  • NetScaler ADC in NetScaler Gateway 14.1: popravljeno v 14.1-73.57 in novejših
  • NetScaler ADC in NetScaler Gateway 13.1: popravljeno v 13.1-64.39 in novejših izdajah 13.1
  • NetScaler ADC 14.1-FIPS: popravljeno v 14.1-73.58 FIPS in novejših izdajah 14.1-FIPS
  • NetScaler ADC 13.1-FIPS in 13.1-NDcPP: popravljeno v 13.1-37.293 in novejših izdajah 13.1-FIPS in 13.1-NDcPP

Preostalih osem napak v NetScaler ADC in Gateway velja le, če je nastavljena funkcija, navedena ob njih. CVE-2026-120868 ni odvisen od konfiguracije, zato mora vsaka naprava z različico pod popravljeno posodobiti.

Sistemi, ki ne uporabljajo NetScalerja, niso prizadeti: običajni spletni strežniki, poštni strežniki ali nadzorne plošče za gostovanje. Če uporabljate le NetScaler Console ali Secure Access Client, si oglejte ločena opozorila Citrixa za te izdelke.

Kaj storiti zdaj

  1. Popišite vse namestitve NetScaler ADC in NetScaler Gateway, vključno s pari HA, navideznimi napravami VPX v oblaku in napravami, ki jih upravljate za stranke.
  2. Varnostno kopirajte konfiguracijo vsake namestitve (ns.conf), preden posodobite.
  3. Posodobite na 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS ali 13.1-37.293 (FIPS/NDcPP) ali na novejšo izdajo vaše veje. V parih HA najprej posodobite sekundarno vozlišče, nato preklopite na to vozlišče in šele nato posodobite nekdanjo primarno napravo.
  4. Po ponovnem zagonu preverite, ali so navidezni strežniki aktivni in ali delujejo prijave v Gateway, VPN in avtentikacijo.
  5. Če uporabljate NetScaler Console, jo posodobite na 14.1-74.34 ali novejšo. Posodobite namestitve Secure Access Client v sistemih Windows (26.11.1.6) in Linux (26.10.4).
  6. Če takoj ne morete posodobiti, omejite dostop do upravljalskih vmesnikov na zaupanja vredna omrežja in spremljajte naprave glede nepričakovanih ponovnih zagonov ali zrušitev, dokler ni nameščena posodobitev.

Kako preveriti, ali ste prizadeti

Nameščeno različico preverite v grafičnem vmesniku za upravljanje ali z ukazom show ns version v CLI. Če je različica nižja od popravljene za vašo vejo, je naprava ranljiva za CVE-2026-120868. Da ugotovite, ali veljajo tudi druge napake, primerjajte svojo konfiguracijo s zgoraj navedenimi pogoji, na primer navidezne strežnike SMPP ali PUSH, uravnoteženje obremenitve DNS, navidezne strežnike Gateway/AAA, Email OTP, Endpoint Analysis ali ICA proxy. Vse podrobnosti so v opozorilu Citrixa CTX697305.

Viri

Več virov (2)

Sorodne objave