Citrix Application Delivery Controller (ADC), Gateway, and SD-WAN WANOP Appliance の脆弱性（CVE-2020-8193）

何が起きた

Citrix ADC、Citrix Gateway、Citrix SD-WAN WANOP に、アクセスの制限がうまく働かず、ログインしていない人でも一部の URL エンドポイント（機能の入り口）にアクセスできてしまう弱点が見つかりました。CISA の KEV に載っており、実際に悪用されたことが確認されています。NVD の評価では、ネットワーク経由で、権限なしに悪用できるとされています。ただし Citrix と CISA によると、攻撃者が NSIP（機器を管理するための IP アドレス）にアクセスできることが悪用の条件です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、Citrix ADC と Citrix Gateway の 13.0-58.30、12.1-57.18、12.0-63.21、11.1-64.14、10.5-70.18 より前の版を使っている組織が対象です。Citrix SD-WAN WANOP では、11.1.1a、11.0.3d、10.2.7 より前の版が対象です。

何をすればいい

Citrix は、修正版をすぐに入れるよう強く勧めています。Citrix ADC と Citrix Gateway は、使っている系統に合わせて 13.0-58.30、12.1-57.18、12.0-63.21、11.1-64.14、10.5-70.18 以降（FIPS 版は 12.1-55.179 以降）に更新します。Citrix SD-WAN WANOP は、11.1.1a、11.0.3d、10.2.7 以降に更新します。すぐに更新できない場合、Citrix は管理用の画面（管理インターフェース）へのアクセスを制限するよう案内しています。詳しくは Citrix の勧告 CTX276688 を確認してください。

やることチェックリスト

• ADC と Gateway を系統ごとの修正版以降に更新する
• SD-WAN WANOP を 11.1.1a などの修正版に更新する
• すぐ更新できなければ管理画面へのアクセスを制限する

用語メモ

エンドポイント

ネットワーク越しに機能を呼び出すための入り口となる URL のことです。

NSIP

Citrix の機器そのものを管理するために割り当てる IP アドレスのことです。

KEV

米国の CISA が公開している、実際に悪用が確認された脆弱性の一覧です。