CVEノート

最近の脆弱性 › CVE-2019-12989

Citrix SD-WAN and NetScaler のSQLインジェクションの脆弱性（CVE-2019-12989）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2019-12989
製品Citrix SD-WAN and NetScaler
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-03-25
米国政府機関の対応期限2022-04-15
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-89

何が起きた

Citrix SD-WAN と NetScaler SD-WAN の機器に、SQL インジェクションの弱点が見つかり、実際に悪用が確認されています。攻撃者が細工した入力を送ると、機器の中のデータベースへの命令を書き換えられるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに攻撃できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が対象の機器を探す → 2. 細工した入力を送る → 3. データベースへの命令が書き換わる1攻撃者が対象の機器を探す2細工した入力を送る3データベースへの命令が書き換わる攻撃の流れ: 1. 攻撃者が対象の機器を探す → 2. 細工した入力を送る → 3. データベースへの命令が書き換わる1攻撃者が対象の機器を探す2細工した入力を送る3データベースへの命令が書き換わる

誰が影響を受ける

Citrix の勧告 CTX251987 では、NetScaler SD-WAN の 9.x のすべての版と 10.0.x の 10.0.8 より前、Citrix SD-WAN の 10.1.x のすべての版と 10.2.x の 10.2.3 より前が影響を受けます。

何をすればいい

Citrix の勧告 CTX251987 に従い、NetScaler SD-WAN は 10.0.8 以降、Citrix SD-WAN は 10.2.3 以降に、できるだけ早く更新してください。9.x や 10.1.x を使っている場合も、10.0.8 か 10.2.3 に上げます。サポートが終わった版を使っている場合は、修正を含む新しい版に上げてください。Citrix は、機器の管理画面に接続できるのを信頼できるネットワークからの通信だけにするよう勧めています。

やることチェックリスト

用語メモ

SQL インジェクション
入力欄などに細工した文字を入れて、データベースへの命令を書き換える攻撃です。
SD-WAN
複数の拠点をつなぐ会社のネットワークを、ソフトでまとめて管理・制御する仕組みです。

元データ（英語・CISA KEV より）

Citrix SD-WAN and NetScaler SQL Injection Vulnerability

概要

Citrix SD-WAN and NetScaler SD-WAN allow SQL Injection.

推奨対応

Apply updates per vendor instructions.

公式情報