NetScaler ADC/Gatewayに認証不要のRCE脆弱性、SAML連携環境が標的に

Citrix NetScaler ADCおよびNetScaler Gatewayに、認証なしでリモートコード実行を許してしまうヒープバッファオーバーフローの脆弱性(CVE-2026-8452)が見つかった。JPCERT/CCが8月15日に注意喚起を出し、発見元のwatchTowr Labsは前日に技術詳細を公開している。対象はSAMLのSP(サービスプロバイダ)またはIdP(IDプロバイダ)として構成された環境で、企業のリモートアクセスやシングルサインオン基盤の入り口そのものが狙われる格好だ。

何が起きているか #

異常に長いデータを詰め込んだSAML Responseを送りつけるだけで、認証プロセスに到達する前にヒープが破壊され、任意コードが実行されてしまう。ログインすら不要という点が深刻で、インターネットに公開されたNetScalerの管理画面やVPNゲートウェイがそのまま攻撃対象になる。対象バージョンは14.1-72.61より前および13.1-63.18より前(FIPS版含む)。JPCERT/CCは8月15日時点で悪用の痕跡は確認していないとするが、技術詳細とPoC相当の情報が既に公開されている以上、実攻撃までの猶予は長くないとみられる。

攻撃者の目線で見ると #

SAMLは複数システムをまたぐID連携の要であり、境界防御を素通りして社内ネットワークへ直行できる経路になりやすい。過去にもNetScalerの脆弱性はランサムウェア攻撃者の初期侵入口として繰り返し悪用されてきた実績があり、今回もスキャンから侵入までの自動化が時間の問題とみるべきだろう。侵害調査の観点では、想定外のPHPファイルへのアクセス、SAML通信の異常なリクエスト、nsppeプロセスの異常終了、/bin/shのパーミッション変更などが痕跡として挙げられている。

対策 #

回避策は提供されておらず、修正版(14.1-72.61 / 13.1-63.18以降)への即時アップグレードが唯一の対策となる。境界に置かれた機器はメンテナンス窓の確保などでパッチ適用が後回しにされがちだが、認証不要のRCEという性質上、優先度は最上位に置くべきだ。SAML連携を有効化している環境は特に急ぎたい。