Trusted Design

CVE-2020-8195 の詳細

CVEの情報

説明:
Improper input validation in Citrix ADC and Citrix Gateway versions before 13.0-58.30, 12.1-57.18, 12.0-63.21, 11.1-64.14 and 10.5-70.18 and Citrix SDWAN WAN-OP versions before 11.1.1a, 11.0.3d and 10.2.7 resulting in limited information disclosure to low privileged users.

CVE更新日: 2020-07-10 16:15:12.327000

CVSSバージョン: 3.1

CVSSスコア: 6.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.330290000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2020-8195に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2020-8195は、Citrix Application Delivery Controller (ADC)、Citrix Gateway、およびCitrix SD-WAN WANOP Applianceにおける不適切な入力検証に起因する情報漏洩の脆弱性です。この脆弱性を悪用されると、低権限ユーザーに限定的な情報が開示される可能性があります。

1.1 影響

この脆弱性は情報漏洩を引き起こします。攻撃者は、この脆弱性を悪用してアプライアンスから機密データを窃取することが確認されており、通常は関連する認証バイパスの脆弱性 (CVE-2020-8193) と組み合わせて悪用されます。 脆弱性のあるアプライアンスは、セッションデータや設定データなど、盗む価値のある機密情報を保持しているため、攻撃の標的となる可能性があります。

1.2 深刻度

CVSS v3の基本スコアは6.5（中程度）と評価されています。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しており、実際に悪用が確認されています。 2026年9月25日時点でのEPSS (Exploit Prediction Scoring System) 30日以内の悪用確率は33.0%です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

以下のバージョンのCitrix製品が影響を受けます。

  • Citrix ADC および Citrix Gateway バージョン:
    • 13.0-58.30 未満
    • 12.1-57.18 未満
    • 12.0-63.21 未満
    • 11.1-64.14 未満
    • 10.5-70.18 未満
  • Citrix SD-WAN WANOP バージョン:
    • 11.1.1a 未満
    • 11.0.3d 未満
    • 10.2.7 未満

2.2 影響を受ける設定

Citrix ADC、Gateway、およびSD-WAN WANOPアプライアンスにおいて、不適切な入力検証の設定が影響を受けます。 具体的な「影響を受ける設定」に関する詳細な情報は見つかりませんでしたが、Citrixの推奨するセキュアな展開ガイドに従ってシステムを構成することで、管理インターフェースへの攻撃のリスクを大幅に軽減できる場合があります。 また、GatewayまたはAuthentication仮想サーバーを有効にしていない顧客は、これらのサーバーに適用される攻撃のリスクはないとされています。

3. 影響を受けた時の兆候

CVE-2020-8195自体は情報漏洩の脆弱性であり、直接的なシステム障害などの兆候は現れにくい可能性があります。しかし、この脆弱性は通常、認証バイパス (CVE-2020-8193) と組み合わせて悪用され、アプライアンスから機密データが窃取される可能性があります。 攻撃の兆候としては、通常とは異なるログインパターンやデータ転送など、ネットワークやシステム内で異常な動作が発生する可能性があります。

4. 推奨対策

4.1 本対策

Citrixは、影響を受けるCitrix ADC、Citrix Gateway、およびCitrix SD-WAN WANOPのすべてのサポート対象バージョンに対して修正済みのビルドをリリースしています。顧客はこれらのアップデートを直ちにインストールすることが強く推奨されます。 CISAも、ベンダーの指示に従ってアップデートを適用するよう要求しており、連邦機関には2022年5月3日までに対応するよう義務付けていました。

修正済みビルドは、以下のCitrixのダウンロードサイトから入手できます。 * Citrix ADC downloads * Citrix Gateway downloads * Citrix SD-WAN downloads

4.2 暫定回避策（緩和策）

CVE-2020-8195に対する具体的な暫定回避策については、情報が見つかりませんでした。しかし、Citrixは関連する脆弱性に関して、以下の緩和策を提示しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る