NetScaler Console の脆弱性 CVE-2024-6235：2024/07 のパッチ適用と PoC のリリース

CVE-2024-6235: NetScaler Console Flaw Enables Admin Access, PoC Publishes

2025/04/24 SecurityOnline — Citrix NetScaler Console に発見された、深刻な脆弱性 CVE-2024-6235 (CVSSv4：9.4) の詳細が、セキュリティ研究者である chutton-r7 により解析され、認証を必要としないセッション乗っ取りにいたることが判明した。この脆弱性を悪用する攻撃者は、内部 API を介して管理者アカウントを作成できる。この脆弱性は情報漏洩に分類されており、きわめて深刻な影響を、実環境に及ぼすとされる。

Rapid7 は、「この脆弱性を悪用する未認証の攻撃者は、内部 API を介して管理者レベルのセッション ID を取得する。続いて、それを悪用することで、システム上に新たな管理者ユーザーを作成できる」と述べている。

この脆弱性が公表されたとき、Citrix のアドバイザリでは CWE-287 (不適切な認証) が引用されており、また、詳細な情報も提供していなかった。その一方で、 Rapid7 のリサーチ・チームは、脆弱なバージョン v14.1-8.50 と、修正版 v14.1-29.63 をリバース・エンジニアリングし、適切な認証を必要としない管理セッション・トークンが、内部 API エンドポイントから漏洩するという、この問題の核心を突き止めた。

具体的に言うと、”/internal/v2/config/mps_secret/ADM_SESSIONID” へ向けて、以下のヘッダー情報と単純な GET リクエストを送信するだけで、完全な管理者権限を付与するアクティブなセッション・トークンを、攻撃者は取得できる。

Tenant-Name: Owner
User-Name: nsroot
Mps-Internal-Request: true

Rapid7 のアドバイザリには、「この API は、レスポンス・コード 200 と、NetScaler Console のセッション ID に似た値を返した」と記されている。

このセッション ID を入手したリサーチ・チームは、NetScaler 管理パネルの HTML から、もう１つの必須のパラメータである “rand_key” を取得した。そして、この２つの情報をベースに、新しい管理者ユーザーの作成に成功した。さらに、セキュリティ研究者たちは、このエクスプロイトのプロセスを自動化する PoC スクリプトの開発にも成功した。このスクリプトは、内部 API からセッション ID を取得し、”rand_key” を取得した後に、新しいスーパー管理者ユーザーを作成するものだ。

すでに、この問題はバージョン 14.1-25.53 で修正され、適切な認証が強制されるようになった。そして、このような API コールに対しては、401 Unauthorized レスポンスが返されるようになった。

CVE-2024-6235 のエクスプロイトが成功した攻撃者は、影響を受ける NetScaler Console インスタンスの完全な管理権限を取得できる。

この種のログエントリは、エクスプロイトの試みを示すレッド・フラグとして機能する。

MPSHTTPRequestHandler::get_internal_service_sessionId session id is not present in Redis, generating new.

このデバッグ・メッセージは、通常の動作中には表示されず、エクスプロイトが試行された時にのみ表示されるため、信頼性の高い IOC (侵入の痕跡) になる。 すでに Citrix は、2024年7月にリリースされた NetScaler Console のバージョン 14.1-25.53 で、この脆弱性を修正している。

したがって、脆弱なバージョンを使用している組織に対して、強く推奨されるのは、速やかにパッチ適用済みバージョンへと更新し、堅牢なパッチ管理戦略を実施することである。また、NetScaler Console インスタンスを、パブリック・インターネットに公開しないことも推奨される。

Citrix が詳細を明かさない中で、Rapid7 のリバース・エンジニアリングにより脆弱性の核心が明らかにされました。こうした研究者の存在により、透明性と信頼性が維持されているのですね。なお、この脆弱性は、2024年7月にパッチ適用済 (2024/07/09：Citrix NetScaler の脆弱性 CVE-2024-6235／6236 が FIX) ですが、ご利用のチームは、いま一度ご確認ください。よろしければ、以下の関連記事も、ご参照ください。

2025/02/19：Citrix NetScaler の CVE-2024-12284 が FIX
2024/12/12：Citrix NetScaler に対するブルートフォースが急増
2024/07/19：NetScaler の脆弱性：NHS England が悪用を確認
2024/07/09：NetScaler の CVE-2024-6235／6236 が FIX