- ひとことでCitrix ADC などで、入力の確かめ方の不備により一部の情報が漏れる弱点です。
- 深刻度6.5 警告CVSS v3.1
- まずやることCitrix ADC と Gateway を修正版以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2020-8195 |
|---|---|
| 製品 | Citrix Application Delivery Controller (ADC), Gateway, and SD-WAN WANOP Appliance |
| 深刻度（CVSS） | 6.5 警告CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2022-05-03 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20（入力の確認の不備） |
何が起きた
Citrix ADC、Citrix Gateway、Citrix SD-WAN WANOP で、受け取ったデータの中身を正しく確かめない不備があり、権限の低い利用者に一部の情報が漏れる情報漏えいの弱点が見つかりました。実際の悪用も確認されています。Citrix によると、攻撃者は管理用の IP アドレス（NSIP）にログインできる利用者である必要があります。NVD の評価でも、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Citrix ADC と Citrix Gateway の 13.0-58.30、12.1-57.18、12.0-63.21、11.1-64.14、10.5-70.18 より前の版と、Citrix SD-WAN WANOP の 11.1.1a、11.0.3d、10.2.7 より前の版が対象です。Citrix によると、SD-WAN WANOP では 4000-WO、4100-WO、5000-WO、5100-WO の機種が対象です。
何をすればいい
Citrix は、Citrix ADC と Citrix Gateway を 13.0-58.30、12.1-57.18、12.0-63.21、11.1-64.14、10.5-70.18 以降に、Citrix SD-WAN WANOP を 11.1.1a、11.0.3d、10.2.7 以降に、すぐに更新するよう強く勧めています。修正版になっているか、公式の案内を確認してください。すぐに更新できない場合は、管理画面への接続を制限するよう案内しています。
やることチェックリスト
- Citrix ADC と Gateway を修正版以降に更新する
- SD-WAN WANOP を 11.1.1a などの修正版以降にする
- すぐ更新できなければ管理画面への接続を制限する
用語メモ
- NSIP
- Citrix ADC を管理するために使う、装置の管理用の IP アドレスです。
- 情報漏えい 用語集で見る
- 本来は見せてはいけない情報が、権限のない人に見られてしまうことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Citrix ADC, Gateway, and SD-WAN WANOP Appliance Information Disclosure Vulnerability
概要
Citrix ADC, Citrix Gateway, and multiple Citrix SD-WAN WANOP appliance models contain an information disclosure vulnerability.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る