Trusted DesignCVE-2023-4966 の詳細
CVEの情報
説明:
Sensitive information disclosure in NetScaler ADC and NetScaler Gateway when configured as a Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) or AAA virtual server.
CVE更新日: 2023-10-10 14:15:10.977000
CVSSバージョン: 3.1
CVSSスコア: 9.4
KEVの情報
KEV更新日: 2023-10-18
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.999990000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2023-4966は、「Citrix Bleed」とも呼ばれる、Citrix NetScaler ADCおよびNetScaler Gatewayに存在する深刻な情報漏えいの脆弱性です。この脆弱性は、認証されていないリモートの攻撃者が、細工されたHTTP GETリクエストを通じてセッショントークンなどの機密情報を窃取し、既存の認証済みセッションを乗っ取ることができるというものです。
1. 脆弱性の概要
1.1 影響
この脆弱性が悪用されると、攻撃者はセッション認証トークンなどの機密情報を開示させることができ、ユーザーのセッションをハイジャックする可能性があります。これにより、攻撃者は多要素認証（MFA）を回避し、正規ユーザーとしてシステムにアクセスできる可能性があります。 攻撃者は窃取したセッショントークンを利用して、標的環境内で追加のアクセス権を取得したり、他のアカウントの認証情報を収集したりする可能性があります。
1.2 深刻度
CVE-2023-4966のCVSSv3スコアは9.4であり、「Critical（緊急）」または「High（高）」と評価されています。 これは、攻撃元区分がネットワーク、攻撃条件の複雑さが低、攻撃に必要な特権レベルが不要、利用者の関与が不要であり、機密性への影響が高いためです。 この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログにも追加されており、活発な悪用が確認されています。
2. 対象となる環境
この脆弱性は、Citrix NetScaler ADC（旧Citrix ADC）およびNetScaler Gateway（旧Citrix Gateway）が以下のいずれかの役割で設定されている場合に影響を受けます。 * ゲートウェイとして設定されている場合: VPN仮想サーバー、ICA Proxy、CVPN、RDP Proxy * AAA仮想サーバーとして設定されている場合:
Citrixが管理するクラウドサービスやCitrixが管理するAdaptive Authenticationを利用している顧客は影響を受けません。
2.1 影響を受けるOSバージョン
影響を受けるCitrix NetScaler ADCおよびNetScaler Gatewayのサポート対象バージョンは以下の通りです。 * NetScaler ADCおよびNetScaler Gateway 14.1-8.50より前の14.1系 * NetScaler ADCおよびNetScaler Gateway 13.1-49.15より前の13.1系 * NetScaler ADCおよびNetScaler Gateway 13.0-92.19より前の13.0系 * NetScaler ADC 13.1-FIPS 13.1-37.164より前の13.1-FIPS系 * NetScaler ADC 12.1-FIPS 12.1-55.300より前の12.1-FIPS系 * NetScaler ADC 12.1-NDcPP 12.1-55.300より前の12.1-NDcPP系
なお、NetScaler ADCおよびNetScaler Gatewayバージョン12.1はすでにEOL（End-of-Life）を迎えていますが、この脆弱性の影響を受けます。 Citrixは、サポート対象のバージョンへのアップグレードを推奨しています。
2.2 影響を受ける設定
上記「2. 対象となる環境」で述べたように、製品がゲートウェイ（VPN仮想サーバー、ICA Proxy、CVPN、RDP Proxy）またはAAA仮想サーバーとして設定されている場合に本脆弱性の影響を受けます。
3. 影響を受けた時の兆候
Mandiantの調査では、本脆弱性の悪用を記録するログやアーティファクトがNetScalerアプライアンス上に特定されていないと報告されています。 しかし、SentinelOneは、異常なデータパターンやアクセス試行の監視、Citrix Gatewayエンドポイントを標的としたトラフィック異常に対するアラート設定が効果的であると述べています。
また、Mandiantのガイダンスでは、Mandiantのツールを使用してメモリをキャプチャし、セッションデータ（認証クッキーなど）が流出した証拠がないか確認することを推奨しています。 Cybereasonは、以下の兆候がないか環境を監視することを推奨しています。 * 未承認のリモート監視および管理（RMM）ツール * 未知の宛先や許可されていない宛先と通信している不明な.dll * 承認されていないIPアドレスにより開始されたユーザーセッション
攻撃が成功した場合、未知のIPアドレス（内部または外部）から有効なユーザーセッションが開始されることが観測されています。
4. 推奨対策
4.1 本対策
Citrixは、本脆弱性を修正した以下のバージョンへのアップグレードを強く推奨しています。 * NetScaler ADCおよびNetScaler Gateway 14.1-8.50以降のリリース * NetScaler ADCおよびNetScaler Gateway 13.1-49.15以降のリリース * NetScaler ADCおよびNetScaler Gateway 13.0-92.19以降のリリース * NetScaler ADC 13.1-FIPS 13.1-37.164以降のリリース * NetScaler ADC 12.1-FIPS 12.1-55.300以降のリリース * NetScaler ADC 12.1-NDcPP 12.1-55.300以降のリリース
バージョン12.1はEOLのため、サポート対象のバージョンにアップグレードする必要があります。
重要な注意点: パッチを適用するだけでなく、既存のセッション情報を無効にするために、パッチ適用後にアプライアンスの再起動が必要です。 Mandiantは、デバイスの再起動だけでなく、永続的なセッショントークンを無効にするための追加の手順も推奨しています。
4.2 暫定回避策（緩和策）
Citrixは、CVE-2023-4966に対する緩和策や回避策を公式には提供していません。 ただし、一般的に脆弱性の悪用による影響を緩和するために、以下の対策が推奨される場合があります。 * IPアドレス制限: 同製品へのアクセスを特定のIPアドレスに制限する。 * アクセスログの記録設定の確認と保全: 不正アクセスの検出と調査のために、アクセスログの記録設定を確認し、保全する。
参照したサイト