Citrixは、NetScaler Application Delivery Controller（ADC）およびNetScaler Gatewayの2つの新しい脆弱性に対応する新しい重大なセキュリティ情報を公開しました。
旧称Citrix ADCおよびCitrix Gatewayの2つの製品は、企業がアプリケーション配信とリモートアクセスを管理、最適化、保護するために使用するネットワークおよびセキュリティソリューションです。
CVE-2026-3055: 重大な境界外読み込み
CVE-2026-3055として追跡される最初の脆弱性は、重大度スコア（CVSS v4.0）が9.3の重大な境界外読み込みです。
Citrixの親会社であるCloud Software Groupによって内部で特定されたこの欠陥は、入力検証が不十分で、メモリ読み込み超過につながります。悪用された場合、認証されていないリモート攻撃者がアプライアンスのメモリから潜在的に機密情報を漏らす可能性があります。
- NetScaler ADC and NetScaler Gateway versions 14.1 14.1-66.59前のバージョン
- NetScaler ADC and NetScaler Gateway 13.1 13.1-62.23前のバージョン
- NetScaler ADC FIPS and NDcPP 13.1-37.262前のバージョン
ただし、3月23日に公開されたCitrixのセキュリティ情報によると、これらの脆弱性はSAML Identity Provider（SAML IDP）として明示的に構成されたNetScalerシステムのみに影響します。デフォルトまたは標準設定は影響を受けません。
さらに、Citrixは、顧客管理インスタンスのみが影響を受け、Citrixが管理するクラウドインスタンスは影響を受けないことを記しました。
顧客は、NetScaler設定で指定された文字列「add authentication samlIdPProfile .*」を確認することで、SAML IDP Profileとして構成されたアプライアンスがあるかどうかを判断できます。
Cloud Software Groupは、影響を受けた顧客に対して、以下を含む関連する更新バージョンをできるだけ早くインストールすることを強く促促します：
- NetScaler ADC and NetScaler Gateway 14.1-66.59およびそれ以降のリリース
- NetScaler ADC and NetScaler Gateway 13.1-62.23およびそれ以降の13.1リリース
- NetScaler ADC 13.1-FIPS and 13.1-NDcPP 13.1.37.262およびそれ以降の13.1-FIPSおよび13.1-NDcPPリリース
NetScalerは、14.1.60.52バージョンでGlobal Deny List機能を導入しました。この新機能により、再起動を必要とせずに実行中のNetScalerに即座にパッチを適用する方法が提供されます。
Cloud Software GroupはCVE 2026-3055を軽減するためのGlobal Deny List署名をリリースしました。
「Global Deny List向けの署名を受け取るには、NetScaler Console（Cloud ConnectのConsole On-premまたはConsole Service）を使用する必要があります。さらに、CVE 2026-3055のGlobal Deny List署名による軽減は、14.1-60.52および14.1-60.57ファームウェアビルドでのみ適用可能です。」と同社は述べています。
「上記で説明したように、完全にパッチされたビルドを採用することをお勧めします。Global Deny List機能は、スケジュールされたメンテナンスウィンドウ中にアップグレードを実行できるように、NetScalerを迅速に保護する方法として意図されています。」
執筆時点では、既知の野生での悪用がなく、公開されたProof-of-Concept（PoC）エクスプロイトもありません。
CVE-2026-4368: 高重大度のレース状態の欠陥
CVE-2026-4368として追跡される2番目の脆弱性は、重大度スコア（CVSS v4.0）が7.7のレース状態の欠陥です。
悪用された場合、CVE-2026-4368はセッションミックスアップを引き起こす可能性があります。
NetScalerがGateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）またはAAA仮想サーバーとして構成されている場合、NetScaler ADC and NetScaler Gateway version 14.1-66.54に影響します。
顧客は、NetScaler設定で指定された文字列を確認することで、以下のいずれかとして構成されたアプライアンスがあるかどうかを判断できます
- 認証サーバー（AAA Vserver）：「add authentication vserver .*」
- ゲートウェイ（VPN Vserver、ICA Proxy、CVPN、RDP Proxy）：「add vpn vserver .*」
影響を受けた顧客は、CVE-2026-4368のパッチを適用するために、NetScaler ADC and NetScaler Gateway version 14.1-66.59をインストールするようアドバイスされています。
画像クレジット：JHVEPhoto / viewimage / Shutterstock.com
翻訳元: https://www.infosecurity-magazine.com/news/citrix-patch-netscaler/
