Citrix NetScaler ADC-ისა და NetScaler Gateway-ის ხარვეზებმა შესაძლოა ინსტანციები გამორთოს

Citrix-მა გამოაქვეყნა უსაფრთხოების პაჩები Citrix NetScaler ADC-სა და Citrix NetScaler Gateway-ში აღმოჩენილი 28 ხარვეზის გამოსასწორებლად. ცხრა მათგანი კრიტიკულადაა შეფასებული, ზოგიერთმა კი შეიძლება მომსახურებაზე უარის თქმა ან დაზარალებული ინსტანციების გათიშვა გამოიწვიოს. ასევე დაზარალებულია ჰიბრიდული Secure Private Access გარემოებიც, სადაც NetScaler-ის ინსტანციები მუშაობს.

კრიტიკული ხარვეზები და კონფიგურაციის მოთხოვნები

CVE-2026-120868 ორივე პროდუქტს ეხება ნაგულისხმევ კონფიგურაციაშიც და პაკეტების დამუშავებაშია; მეხსიერების შეცდომამ შეიძლება გამოიწვიოს არაპროგნოზირებადი ქცევა ან მომსახურებაზე უარის თქმა. მომსახურებაზე უარის თქმის სხვა კრიტიკული შემთხვევებისთვის კონკრეტული პარამეტრებია საჭირო: მაგალითად, DNS-ის დატვირთვის ბალანსირება DNS-over-HTTPS-ით (CVE-2026-107409) ან რეკურსიული DNS რეზოლუციით (CVE-2026-107408). CVE-2026-107412, რომელიც კრიტიკულადაა შეფასებული 9,5 CVSS ქულით, მოითხოვს, რომ NetScaler კონფიგურირებული იყოს Gateway-ად (SSL VPN, ICA Proxy, CVPN, RDP Proxy) ან AAA ვირტუალურ სერვერად.

სხვა სიმძიმის დონეები და ლოკალური წვდომის საკითხი

დარჩენილი ხარვეზების უმეტესობა მაღალი სიმძიმის დონითაა შეფასებული, მათ შორის მომსახურებაზე უარის თქმის შემთხვევები, როგორიცაა CVE-2026-120861. ოთხი ხარვეზი საშუალო სიმძიმისაა. ერთი საშუალო ხარვეზი, CVE-2026-111348, შეიძლება გამოიწვიოს ავთენტიფიკაციის მონაცემების ლოგ-ფაილში ჩაწერა, მაგრამ თავდამსხმელებს მის წასაკითხად ლოკალური წვდომა სჭირდებათ.

გამოსწორებული ვერსიები და განახლების განრიგი

ინსტანციების დასაცავად ადმინისტრატორებმა უნდა დააყენონ ჩამოთვლილი ვერსიებიდან ერთი ან უფრო ახალი: Citrix NetScaler ADC და Citrix NetScaler Gateway 14.1-73.57; Citrix NetScaler ADC და Citrix NetScaler Gateway 13.1-64.39; Citrix NetScaler ADC 14.1-FIPS 14.1-73.58 FIPS; და Citrix NetScaler ADC 13.1-FIPS და 13.1-NDcPP 13.1-37.293. Citrix ასევე ანახლებს ღრუბლოვან სერვისებს, რომლებსაც თავად მართავს. Citrix აცხადებს, რომ ამიერიდან უსაფრთხოების პაჩებს ყოველთვიურად, ფიქსირებული განრიგით გამოუშვებს, Patch Tuesday-სთან რაც შეიძლება ახლოს; განრიგის გარეთ განახლება კი გადაუდებელ შემთხვევებში, მაგალითად აქტიური ექსპლუატაციისას, შესაძლებელი იქნება. ეს პაჩები ამ პროგრამის ფარგლებში პირველია.

აღმოჩენისა და ექსპლუატაციის სტატუსი

Citrix-ს ჯერ არ შეუტყობინებია ხარვეზების ექსპლუატაციის არც ერთი შემთხვევა. კომპანიის თქმით, ზოგიერთი ხარვეზი კოდის ანალიზისას AI-ის დახმარებით აღმოაჩინა. ოქტომბრის დასაწყისში ხმაური გამოიწვია Citrix NetScaler-ის კრიტიკულმა ხარვეზმაც.

ადრინდელი გაშუქება: Citrix-მა გამოასწორა SAML-ის განლაგებებზე მოქმედი ექსპლუატირებული NetScaler zero-day

წყაროები: heise online · CERT-EU · Citrix