Hoppa till innehållet
Centoculus
sv

Säkerhetslarm · Kritisk

Citrix NetScaler ADC och Gateway: kritiska minnesfel gör att tjänsten kan överbelastas (CVE-2026-120868)

· 4 minuters läsning · Centoculus Security Team

Känd sedan

Berörda: NetScaler ADC och NetScaler Gateway före 14.1-73.57 och 13.1-64.39; NetScaler ADC 14.1-FIPS före 14.1-73.58; 13.1-FIPS/13.1-NDcPP före 13.1-37.293

Vad hände

Den 13 november 2026 publicerade Citrix säkerhetsuppdateringar för NetScaler ADC och NetScaler Gateway (rådgivning CTX697305). Den mest brett relevanta sårbarheten är CVE-2026-120868 (CVSS 9.3). Det är ett minnesöverflöde i paketbehandlingen som kan leda till oförutsägbart eller felaktigt beteende eller till överbelastning av tjänsten (DoS). Enligt rådgivningen påverkar den alla installationer av NetScaler ADC och NetScaler Gateway, oavsett konfiguration.

Uppdateringen åtgärdar dessutom åtta andra kritiska minnesfel. Var och en av dessa spelar bara roll om en viss funktion är konfigurerad:

  • CVE-2026-107407 (CVSS 9.3): minnesöverflöde i SMPP-trafik. Påverkar lastbalanserings- eller innehållsväxlingsserver av typen SMPP.
  • CVE-2026-107408 (CVSS 9.3): minneskorruption i DNS / DNS-over-HTTPS. Påverkar appliances konfigurerade för DNS-lastbalansering och rekursiv DNS-uppslagning.
  • CVE-2026-107409 (CVSS 9.3): minneskorruption i DNS-over-HTTPS. Påverkar DNS-lastbalansering över HTTPS.
  • CVE-2026-107410 (CVSS 9.3): minnesöverflöde i NetScaler Push. Påverkar lastbalanseringsservrar av typen PUSH.
  • CVE-2026-107412 (CVSS 9.5): flera minnesöverflöden. Påverkar appliances konfigurerade som Gateway- eller AAA-server.
  • CVE-2026-107415 (CVSS 9.3): minnesöverflöde i e-postbaserad engångskod (Email OTP). Påverkar konfigurationer med en e-poståtgärd.
  • CVE-2026-111344 (CVSS 9.3): minnesöverflöde i Endpoint Analysis (EPA/EPAS). Påverkar VPN- eller AAA-servrar som använder Endpoint Analysis.
  • CVE-2026-120864 (CVSS 9.3): minnesöverflöde i ICA-proxyn. Påverkar Gateway-, VPN-, AAA- eller CR-servrar (typ HDX).

Alla dessa kan leda till oförutsägbart beteende eller överbelastning av tjänsten. Vid publiceringen uppgav Citrix att de inte kände till några exploateringar av dessa sårbarheter. CISA listar dem inte som utnyttjade.

Samma dag åtgärdade Citrix även tre brister i andra produkter, var och en i en egen rådgivning:

  • CVE-2026-120869 (CVSS 9.4): kringgående av autentisering i NetScaler Console. Åtgärdad i 14.1-74.34 och senare.
  • CVE-2026-118268: rättighetseskalering till SYSTEM i Secure Access Client för Windows. Åtgärdad i 26.11.1.6 och senare.
  • CVE-2026-118269: rättighetseskalering till root i Secure Access Client för Linux. Åtgärdad i 26.10.4 och senare.

Vilka som påverkas

Du påverkas av CVE-2026-120868 om du kör NetScaler ADC eller NetScaler Gateway som är äldre än dessa åtgärdade versioner:

  • NetScaler ADC och NetScaler Gateway 14.1: åtgärdad i 14.1-73.57 och senare
  • NetScaler ADC och NetScaler Gateway 13.1: åtgärdad i 13.1-64.39 och senare versioner av 13.1
  • NetScaler ADC 14.1-FIPS: åtgärdad i 14.1-73.58 FIPS och senare versioner av 14.1-FIPS
  • NetScaler ADC 13.1-FIPS och 13.1-NDcPP: åtgärdad i 13.1-37.293 och senare versioner av 13.1-FIPS och 13.1-NDcPP

De övriga åtta felen i NetScaler ADC och Gateway gäller bara om funktionen som anges bredvid dem är konfigurerad. CVE-2026-120868 beror inte på konfiguration, så varje appliance under de åtgärdade versionerna behöver uppdateras.

System som inte kör NetScaler påverkas inte: vanliga webbservrar, e-postservrar eller hanteringspaneler för webbhotell. Om du bara använder NetScaler Console eller Secure Access Client, se Citrix separata rådgivningar för dessa produkter.

Vad du bör göra nu

  1. Lista alla NetScaler ADC- och NetScaler Gateway-instanser, inklusive HA-par, VPX-instanser i molnet och appliances du driver åt kunder.
  2. Säkerhetskopiera konfigurationen för varje instans (ns.conf) innan du uppgraderar.
  3. Uppgradera till 14.1-73.57, 13.1-64.39, 14.1-73.58 FIPS eller 13.1-37.293 (FIPS/NDcPP), eller en senare version i din gren. I HA-par uppgraderar du den sekundära noden först, växlar över och uppgraderar sedan den tidigare primära noden.
  4. Efter omstarten kontrollerar du att virtuella servrar är igång och att inloggningar till Gateway, VPN och autentisering fungerar.
  5. Om du använder NetScaler Console uppdaterar du den till 14.1-74.34 eller senare. Uppdatera installationer av Secure Access Client på Windows (26.11.1.6) och Linux (26.10.4).
  6. Om du inte kan uppgradera direkt begränsar du åtkomst till hanteringsgränssnitten till betrodda nätverk och övervakar appliances för oväntade omstarter eller krascher tills uppdateringen är installerad.

Så kontrollerar du om du påverkas

Kontrollera installerad build i hanteringsgränssnittet (GUI) eller med CLI-kommandot show ns version. Om buildet är lägre än den åtgärdade versionen för din gren är appliancen sårbar för CVE-2026-120868. För att se om de andra felen också gäller jämför du din konfiguration med villkoren ovan, till exempel SMPP- eller PUSH-servrar, DNS-lastbalansering, Gateway/AAA-servrar, Email OTP, Endpoint Analysis eller ICA-proxy. Citrix rådgivning CTX697305 innehåller alla detaljer.

Källor

Fler källor (2)

Relaterade inlägg