Citrix выпустила бюллетень CTX697305 для NetScaler ADC и NetScaler Gateway: в нём 28 уязвимостей, и почти все они - переполнения памяти в разных обработчиках. Часть ошибок получила критический уровень CVSS 4.0 9.3-9.5, остальные - высокий и средний. Затронуты поддерживаемые ветки 14.1 и 13.1, включая FIPS и NDcPP. Исправления вышли в 14.1-73.57 и 13.1-64.39; отдельная сборка нужна для FIPS 14.1-73.58 FIPS и 13.1-37.293.
Что нашли
NetScaler ADC и NetScaler Gateway - балансировщики нагрузки и шлюзы доступа. Они терминируют TLS, проверяют учётные данные, публикуют приложения и проксируют трафик к внутренним сервисам. Именно поэтому их обработчики разбирают огромное количество форматов: SAML, WebAuth, email OTP, клиентские сертификаты, LDAP, EPA, DNS и DNS-over-HTTPS, SIP и Diameter, MQTT, RADIUS, SMPP, RTSP, HTTP/2, HTTP/3 на QUIC, SSL/TLS и DTLS, BGP. Ошибка в любом из них бьёт по устройству, через которое проходит чужой трафик.
Серия CTX697305 - это переполнения памяти в этих путях обработки. Vendor описывает последствия сдержанно: непредсказуемое или ошибочное поведение, отказ в обслуживании, в части случаев - перезагрузка. Наиболее тяжёлые оценки: CVE-2026-107412 (CVSS 4.0 9.5, множественные переполнения памяти), CVE-2026-107407 (9.3, переполнение в обработке SMPP), CVE-2026-120864 (9.3, ICA proxy) и CVE-2026-120868 (9.3, обработка пакетов). Есть и ошибка другого класса: CVE-2026-111338 (6.9) - запись чувствительных данных аутентификации в лог-файл, то есть риск утечки учётных данных из журналов.
Остальные уязвимости разбросаны по аутентификации и протоколам: SAML, WebAuth, email OTP, KBA, клиентские сертификаты, LDAP, Endpoint Analysis, DNS/DoH, RTSP ALG, HTTP/2 и HTTP/3, SSL/TLS/DTLS, NetScaler Push, GSLB, management plane, ICA proxy и packet processing. У большинства оценка 8.7 (высокий), у нескольких - 9.3 (критический), у части - 6.9 (средний). Отдельно отмечены уязвимости, которые vendor относит к GSLB и geolocation, к BGP и к SIP ALG: это уже не только веб-интерфейс, но и сетевая плоскость.
Чем это грозит
Для большинства CVE заявленный эффект - отказ в обслуживании и непредсказуемое поведение. Для балансировщика это означает обрыв сессий, перезагрузку узла или потерю управления. Если устройство стоит перед критичным приложением, даже короткий сбой в обработке протокола превращается в простой сервиса.
У CVE-2026-111338 другой эффект: чувствительные данные аутентификации попадают в лог. Это создаёт риск для тех, у кого есть доступ к журналам, и для систем централизованного сбора логов. Утечка таких данных требует не только обновления, но и проверки, кто и где читал журналы за период работы уязвимой версии.
Выполнение кода в бюллетене не заявлено: речь о переполнениях, которые vendor описывает как приводящие к ошибочному поведению и отказу. Но для администратора разница небольшая: непредсказуемое поведение сетевого устройства само по себе достаточно плохо, а часть ошибок в аутентификации может открыть путь к обходу проверок.
Условия эксплуатации
Атака идёт по сети. У большинства ошибок не требуются учётные данные и взаимодействие пользователя: достаточно отправить специально сформированный трафик на интерфейс ADC или Gateway. Для некоторых путей, наоборот, нужен доступ к management plane или определённая роль; это стоит проверять по конкретной CVE.
Для эксплуатации переполнений в протокольных обработчиках обычно нужно, чтобы соответствующий протокол или функция были включены. Но полагаться на «мы это не используем» рискованно: NetScaler часто настраивают с запасом функций, а часть обработчиков задействована по умолчанию.
Затронутые версии
Affected-ветки: NetScaler ADC ниже 14.1-73.57 и ниже 13.1-64.39; отдельно NetScaler ADC FIPS ниже 14.1-73.58 FIPS и NetScaler ADC 13.1 FIPS/NDcPP ниже 13.1-37.293; NetScaler Gateway ниже 14.1-73.57 и ниже 13.1-64.39.
Исправленные сборки: 14.1-73.57 и 13.1-64.39, для FIPS - 14.1-73.58 FIPS, для FIPS/NDcPP - 13.1-37.293. Обновлять нужно все узлы, включая резервные: в паре HA старая сборка на standby остаётся уязвимой и может неожиданно стать активной. Если устройство публикует наружу приложения или терминальный доступ, под удар попадают именно обработчики опубликованных сервисов: для атаки не нужен доступ к management-интерфейсу, достаточно трафика на сам сервис.
NetScaler Console в этот бюллетень не входит: для консоли был отдельный выпуск CTX697320, о котором мы писали раньше. Если в инфраструктуре есть и ADC/Gateway, и Console, обновлять их нужно по своим бюллетеням.
Что делать
Сначала инвентаризация: какие сборки стоят на ADC и Gateway, включая FIPS и NDcPP-контуры. Затем обновление до исправленных версий своей ветки - с проверкой совместимости и планом отката. На HA-паре обновлять узлы по очереди и контролировать переключение.
Пока обновление не установлено, стоит ограничить доступ к management-интерфейсу доверенными сетями и проверить, какие протоколы и функции реально включены. Для CVE-2026-111338 отдельно проверьте, кто имел доступ к логам и не попали ли чувствительные данные в централизованное хранилище.
После обновления полезно свериться с журналами на аномальные перезагрузки и сбои обработки протоколов, а также убедиться, что все узлы и резервные сборки действительно обновились. Вендор отдельных обходных мер не предлагает - основной путь один: установить исправленную сборку. После обновления отдельно проверьте резервные узлы и сборки, которые могли не попасть в основной прогон.
Ссылки
- https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX697305
- https://www.cve.org/CVERecord?id=CVE-2026-107412
- https://www.cve.org/CVERecord?id=CVE-2026-107407
- https://www.cve.org/CVERecord?id=CVE-2026-120864
- https://www.cve.org/CVERecord?id=CVE-2026-111338
