Citrixの新たな頭痛の種 2つのゼロデイ脆弱性が見つかる：Cybersecurity Dive

Citrixは2つのゼロデイ脆弱性を公開した。これらはCitrixBleedとは無関係であるとされているが、同社はシステムを保護するために直ちに修正プログラムを適用するよう呼び掛けている。

[David Jones，Cybersecurity Dive]

　Citrixは、ネットワーキングアプライアンスである「Citrix NetScaler Application Delivery Controller」（以下、NetScaler ADC）および「NetScaler Gateway」における2つのゼロデイ脆弱（ぜいじゃく）性が、限られたケースでアクティブに悪用されている可能性があると警告している（注1）。

　これらの新たなゼロデイ脆弱性は、リモートコード実行の可能性がある「CVE-2023-6548」と（注2）、DoS攻撃の可能性がある「CVE-2023-6549」として追跡されている（注3）。なお、これらは「CVE-2023-4966」として追跡されている脆弱性「CitrixBleed」とは無関係で、CitrixBleedに対する初めてのパッチがリリースされてから3カ月以上たった後に発生した。

Citrixを悩ませる新たな頭痛の種　2つのゼロデイ脆弱性

　CVE-2023-6548はCVSSスコア5.5で顧客から報告された。CVE-2023-6549はCVSSスコア8.2と評価されており、社内で発見された後に顧客からも報告が挙がった。

　CitrixBleedに対処しているCitrixにとって、今回のゼロデイ脆弱性は新たな頭痛の種だ。これらは既に米国国内外の多くの企業で広範な悪用が確認されている。

　CitrixBleedは（注5）、Boeing（注6）やComcasのブロードバンド・エンターテインメント部門であるXfinity（注7）、中国工商銀行といった大企業を巻き込み、ランサムウェアグループや国家に関連する攻撃者に悪用された。

　研究者は一方で、今回新たに見つかったゼロデイ脆弱性の深刻度は低いと考えているが、顧客に早急な対応を促している。Citrixの公式発表によると、新たな脆弱性を悪用すれば、管理コンソールでのリモートコード実行やDoS攻撃が可能になるいう。Citrixは悪用が広まる前に、迅速に修正プログラムを適用することを推奨している。

　米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は（注8）は、この2つの脆弱性を「Known Exploited Vulnerabilities Catalog」（悪用されている脆弱性カタログ）に追加した。

　まだ脆弱性を悪用した概念実証（PoC）は発表されていないが、セキュリティ企業Tenableの研究者は、そのような展開が近く発生し、脅威活動の急速な発展につながる可能性があると警告している。

　研究者は（注9）、攻撃者がアプライアンスの管理インタフェースにアクセスして「NetScaler IP」や「SubNet IP」「クラスタ管理IP」にアクセスできる場合、低レベルの特権でリモートコード実行に関する脆弱性を容易に悪用できると警告している。Citrixは「管理インタフェースを公共のインターネットに公開せず、プライベートネットワークに置くべきだ」と指摘している。

　この他、脆弱なアプライアンスがゲートウェイまたはAAA仮想サーバとして設定されている場合、攻撃者はDoS攻撃に関連する脆弱性を悪用できるとされている。

（注1）High-severity updates are available for NetScaler ADC and NetScaler Gateway（netscaler）
（注2）CVE-2023-6548 Detail（nist）
（注3）CVE-2023-6549 Detail（nist）
（注4）CVE-2023-4966 Detail（nist）
（注5）CitrixBleed worries mount as nation state, criminal groups launch exploits（Cybersecurity Dive）
（注6）CitrixBleed worries mount as nation state, criminal groups launch exploits（Cybersecurity Dive）
（注7）Comcast’s Xfinity discloses massive data breach linked to CitrixBleed vulnerability（Cybersecurity Dive）
（注8）CISA Adds Three Known Exploited Vulnerabilities to Catalog（CISA）

（注9）CVE-2023-6548, CVE-2023-6549: Zero-Day Vulnerabilities Exploited in Citrix NetScaler ADC and NetScaler Gateway（tenable）

原文へのリンク