Citrixは火曜日、NetScaler ADCおよびNetScaler Gatewayアプライアンスに存在する6件の脆弱性を開示するセキュリティ情報を公開しました。その中には、2023年に「CitrixBleed」として知られるインシデントで初めて確認された脆弱性クラスに属するとされる、高深刻度のメモリ漏洩の脆弱性も含まれています。
同社はこのセキュリティ情報の総合的な深刻度を「高」と評価し、6件のCVEに対してCVSSスコア6.9〜8.8を割り当てました。Citrixは、ユーザーに対してアップデートされたビルドをインストールするよう呼びかけており、1件については、パッチ適用後も手動で設定パラメーターを変更する必要があると述べています。
今回最も注目を集めている脆弱性CVE-2026-8451は、NetScaler製品の問題に関する分析をこれまで複数発表してきたサイバーセキュリティ企業watchTowrの研究者が発見しました。火曜日の開示と同時に同社が公開した技術的な詳細説明によると、この脆弱性は、アプライアンスがSAMLアイデンティティプロバイダーとして設定されている場合にNetScalerがSAML認証リクエストを解析する方法に起因するものです。この構成はシングルサインオン用途で広く利用されています。
watchTowrの研究者Aliz Hammondは、今年初めにCitrixが開示した別の脆弱性CVE-2026-3055を再現していた3月下旬に、この欠陥を発見したと述べています。3月に発見された脆弱性は、開示から数日以内に研究者とCISAが積極的な悪用を確認したことを受け、CISAの「既知の悪用された脆弱性（KEV）」カタログに追加されました。新たな脆弱性は3月のバグと根本原因を共有しており、いずれもNetScalerの認証エンドポイントに送信された不正なSAMLリクエストによって引き起こされる境界外メモリ読み取りを伴います。
「以前の報告を再引用します。その内容は現在も明らかに通用するものです。『より重要なのは大局的な視点、すなわちトレンドです。Citrix NetScalerアプライアンスにおけるメモリ管理は依然として脆弱な状態が続いており、設定を誤っただけでもメモリ漏洩につながりかねないことが、非常に明確に示されています』」と、Hammondはレポートの中で述べています。
このセキュリティ情報では、NetScalerのさまざまなサブシステムに影響する5件の追加脆弱性も開示されています。そのうち2件はサービス拒否（DoS）につながる可能性のあるメモリオーバーフローに関するものです。別の脆弱性は、特定のネットワークインターフェースに管理アクセスが公開されているアプライアンスにおいて、認証なしで任意のファイルを読み取れる可能性があります。さらに別の脆弱性は、TCPタイムスタンプの処理を介して引き起こされるメモリの過剰読み取りに関するものです。6件目は、不正なHTTP/2リクエストに起因するサービス拒否の条件に関するもので、完全に修正するためには追加の手動設定変更が必要です。関連するタイムアウトパラメーターのデフォルト値が問題のある状態のままとなっており、管理者が明示的に設定しない限り根本的な問題が解消されないためです。
セキュリティ情報には、Hammondに加え、JPMorgan ChaseのXORチームに所属するMichael TuckerとMaxim Suhanovも脆弱性の発見者として記載されています。
NetScaler製品ラインは過去3年間でCISAのKEVカタログに20件以上登録されており、ランサムウェア攻撃に悪用された脆弱性も複数含まれています。火曜日時点では、今回の最新の脆弱性はまだそのリストには加わっていませんでした。ベンダーのセキュリティ情報にもwatchTowrの詳細説明にも、開示時点での悪用が確認された旨の記載はありませんでした。
翻訳元: https://cyberscoop.com/citrix-netscaler-flaw-cve-2026-8451-citrixbleed/
