Citrix NetScaler の脆弱性 CVE-2024-12284 が FIX：Console／Agent で不正なコマンド実行

CVE-2024-12284 in NetScaler Console Exposes Systems to Unauthorized Command Execution

2025/02/19 SecurityOnline — Cloud Software Group がリリースしたのは、Citrix NetScaler Console／NetScaler Agent に存在する、深刻度の高い脆弱性に対処するセキュリティ速報である。この脆弱性 CVE-2024-12284 (CVSSv4：8.8) の悪用に成功した認証済の攻撃者は、適切な承認を必要とすることなくコマンドを実行し、システム全体を危険にさらす可能性を手にする。

この速報には、「脆弱性 CVE-2024-12284 は、不適切な権限管理に起因する。この欠陥を悪用する攻撃者の前提として、NetScaler Console へのアクセス権が必要になるが、不正なコマンド実行の可能性によるリスクは大きなものとなる。この問題は不適切な権限管理により発生し、認証済の攻撃者による悪用が可能であり、追加承認を必要とすることなくコマンド実行にいたる恐れがある」と記されている。

Citirx のアドバイザリには、「この脆弱性の影響の範囲は、主に認証済のユーザーに限定されるため、攻撃対象領域は縮小される。さらに、自己管理型の NetScaler Console デプロイでは、NetScaler Agent が存在するため、さらに潜在的な損害は縮小する。 つまり、セルフ管理型 NetScaler Console への潜在的な影響は最小限となる」と記されている。

影響を受けるバージョンに含まれるのは、NetScaler Console／NetScaler Agent バージョン 14.1 (14.1-38.53 未満) と 13.1 (13.1-56.18 未満) である。なお、この脆弱性に対する緩和策は提供されない。それに代わる唯一の解決策として、パッチ適用バージョンへの、アップグレードが強く推奨されている。

このセキュリティ情報は、「影響を受けるオンプレミスの NetScaler Console／NetScaler Console Agent を実行している場合には、デプロイメントのアップグレードが推奨される」と指摘している。

ユーザーにとって必要なことは、NetScaler Console と NetScaler Agent のデプロイメントを、以下のセキュア・ビルドへ向けて、直ちにアップグレードすることだ：

• NetScaler Console／NetScaler Agent：14.1-38.53 以降のリリース
• NetScaler Console／NetScaler Agent：13.1-56.18 以降のリリース

管理者に対して推奨されるのは、完全な詳細とアップグレード手順について、公式の Cloud Software Group セキュリティ速報を確認することだ。このアップグレード・プロセスが遅滞すると、システムにおける悪用のリスクが高まる。

Citrix NetScaler の脆弱性 CVE-2024-12284 が FIX しました。ご利用のチームは、ご注意ください。なお、関連する直近のトピックは、2024/12/12 の「Citrix NetScaler に対するブルートフォースの急増：CVE-2024-8534／8535 に注意」となります。よろしければ、Citrix NetScaler で検索も、ご参照下さい。