NetScalerのRCEとDoS

Citrixの製品のなかに、NetScaler ADCとNetScaler Gatewayがあります。
これらの製品の古いバージョンで、脆弱性が確認されています。
いずれもゼロデイです。すでに悪用が確認されています。
どういったものでしょうか。

• CVE-2023-6548
  この脆弱性は、リモートコード実行を可能にしてしまいます。
  この脆弱性が有効となる前提条件は、攻撃者が管理インターフェースでログインしていることです。
  必ずしも特権ユーザである必要はなく、権限の低いユーザであっても、脆弱性が発現してしまいます。

   

• CVE-2023-6549
  この脆弱性は、サービス拒否を可能にしてしまいます。
  この脆弱性が有効となる前提条件は、アプライアンスがVPNなどのゲートウェイとして設定されているか、認証仮想サーバの認証・認可・監査の機能が設定されていることです。

これらの脆弱性の影響をなくすことのできるパッチは、すでに公開されています。
未適用の環境には、速やかな適用が必要です。
なんらかの事情でパッチの適用が実施できない場合は、対象の機器を速やかにネットワークから切断することが推奨されています。

日々いろいろな製品で新しいバージョンが公開されていきます。
場合によっては、その新しいバージョンでは機能拡張が実施されるのみであるということもあるでしょう。
しかし、多くの場合、なんらかのバグの対策も含まれるように思えます。
そのバグが機能的な問題となるものだけならよいのですが、今回のように脆弱性となってしまうようなものであることも含まれます。
使用環境を構成する各要素の適切な運用を継続することの重要性を感じました。

参考記事（外部リンク）：NetScaler ADC and NetScaler Gateway Security Bulletin for
CVE-2023-6548 and CVE-2023-6549
support.citrix.com/article/CTX584986/netscaler-adc-and-netscaler-gateway-security-bulletin-for-cve20236548-and-cve20236549