概要
Cloud Software Groupは、NetScaler ADCおよびNetScaler Gatewayプラットフォームに影響を与えるクロスサイトスクリプティング（XSS）の脆弱性を開示しました。この脆弱性はCVE-2025-12101として追跡されており、これらのネットワークアプライアンスを認証およびセキュアアクセスサービスに利用している組織にとって中程度のセキュリティリスクをもたらします。
脆弱性の詳細
この脆弱性は、攻撃者が影響を受けるNetScalerインスタンスによって提供されるウェブページに悪意のあるスクリプトを注入することを可能にします。攻撃が成功した場合、脅威アクターはユーザーのブラウザで任意のコードを実行し、セッションハイジャック、認証情報の窃盗、またはマルウェアの配布につながる可能性があります。攻撃には特定の構成とユーザーの操作が必要であり、その即時的な脅威は限定的です。
この脆弱性はCVSS v4.0スコアで5.9（中程度）と評価されており、攻撃ベクトルはネットワークベースで、攻撃の複雑性は低く、ユーザーの操作が必要です。成功した場合、機密性の高い情報が漏洩する可能性が高く、整合性と可用性への影響は限定的です。この弱点はCWE-79: Improper Neutralization of Input During Web Page Generation (‘Cross-site Scripting’)に分類されます。
影響を受けるバージョンと構成
この脆弱性は、複数のNetScalerバージョンおよび製品ラインに影響を与えます。特に以下のバージョンが脆弱です。
- NetScaler ADCおよびGatewayバージョン 14.1-56.73より前の14.1
- NetScaler ADCおよびGatewayバージョン 13.1-60.32より前の13.1
- FIPS準拠バージョン：13.1-FIPS (13.1-37.250より前)
- FIPS準拠バージョン：12.1-FIPS (12.1-55.333より前)
また、サポート終了（EOL）バージョンである12.1および13.0も引き続き脆弱です。Cloud Software Groupは、Secure Private Accessのオンプレミスおよびハイブリッド展開もこの脆弱性の影響を受けることを確認しています。この脆弱性は、NetScalerがVPN、ICA Proxy、CVPN、またはRDP Proxyなどの特定の仮想サーバータイプを持つGatewayとして構成されている場合にのみ顕在化します。AAA仮想サーバーを使用する認証サーバーも脆弱です。組織は、露出を判断するために自身の構成を確認する必要があります。
推奨される対策
Cloud Software Groupは、影響を受けるインストールに対して即時的なパッチ適用を強く推奨しています。組織は以下のバージョンにアップグレードする必要があります。
- NetScaler ADCおよびGatewayバージョン 14.1-56.73以降
- NetScaler ADCおよびGatewayバージョン 13.1-60.32以降
FIPS準拠の展開を管理する管理者は、対応するパッチ適用済みバージョンに更新する必要があります。EOLバージョンを実行している顧客は、継続的なセキュリティアップデートが提供されないため、サポートされているプラットフォームへの移行を優先すべきです。Citrix管理のクラウドサービスを利用している顧客は、Cloud Software Groupが自動的にアップグレードを行うため、手動での対応は不要です。
発見者
この脆弱性は、watchTowrのSina Kheirkhah氏とAssetnoteのDylan Pindur氏によって発見されました。両氏はCloud Software Groupと協力し、公開前にタイムリーな修正を確実にしました。
元記事: https://gbhackers.com/citrix-netscaler-adc-and-gateway-flaw/