Citrix NetScaler ADC and NetScaler Gateway のバッファオーバーフローの脆弱性（CVE-2023-6549）

何が起きた

NetScaler ADC と NetScaler Gateway に、メモリの決められた範囲の外を読み書きしてしまう弱点（バッファオーバーフロー）が見つかりました。悪用されると、サービスを止められたり（サービス拒否）、範囲外のメモリを読まれたりするおそれがあります。NVD の評価では、ログイン不要の攻撃者がネットワーク経由で、利用者の操作なしに悪用できます。CISA の KEV に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Gateway（VPN 仮想サーバー、ICA Proxy、CVPN、RDP Proxy）または AAA 仮想サーバーとして設定している NetScaler ADC と NetScaler Gateway が対象です。Citrix の勧告では、14.1 は 14.1-12.35 より前、13.1 は 13.1-51.15 より前、13.0 は 13.0-92.21 より前が影響を受けます。FIPS 版などでは、13.1-FIPS は 13.1-37.176 より前、12.1-FIPS と 12.1-NDcPP は 12.1-55.302 より前が対象です。

何をすればいい

使っている系列ごとの修正版（14.1-12.35、13.1-51.15、13.0-92.21）以降に更新されているか確認してください。FIPS 版は 13.1-37.176 や 12.1-55.302 以降です。Citrix によると、12.1 はサポートが終わっており（EOL）、修正済みのサポート中の版へ更新するよう勧めています。Citrix が管理するクラウドサービスを使っている場合は、対応は不要とされています。

やることチェックリスト

• 14.1 は 14.1-12.35 以降に更新する
• 13.1 は 13.1-51.15、13.0 は 13.0-92.21 以降に更新する
• FIPS 版も修正版以降に更新する

用語メモ

バッファオーバーフロー

決められた大きさのメモリの入れ物から、データがあふれてしまう弱点です。

サービス拒否

機器やサービスを止めたり、使えない状態にしたりする攻撃です。

VPN

インターネットの上に、会社のネットワークへつながる安全な通り道を作る仕組みです。

KEV

米国の CISA がまとめている、実際に悪用が確認された脆弱性の一覧です。