Обработка памяти в клиенте Citrix Workspace App для Windows содержит две уязвимости. Воспользоваться каждой может только тот, у кого есть локальный доступ к машине: удалённо их не эксплуатируют. Первая приводит к аварийному завершению приложения, вторая добавляет к этому ограниченное чтение и изменение данных. Под удар попадают организации, чьи сотрудники подключаются к корпоративным ресурсам через Windows-клиент. Уровень угрозы вендор оценил как средний, базовые оценки по CVSS 4.0 (система оценки уязвимостей) - 6.8 и 5.8.
Уязвимости CVE-2026-84419 и CVE-2026-84420 в Citrix Workspace App
Citrix Workspace App ставят на рабочие места, чтобы подключаться к виртуальным рабочим столам и приложениям Citrix. Через него идёт рабочий трафик сотрудников компаний, госструктур и подрядных организаций. Ошибки в клиенте поэтому касаются не одного человека, а всей инфраструктуры, которая выдаёт доступ к корпоративным ресурсам.
Обе проблемы связаны с работой с памятью. Программа записывает данные за пределами выделенного участка памяти, а во втором случае ещё и читает оттуда. Такой выход за границы буфера ломает внутреннее состояние приложения. Что именно произойдёт дальше, зависит от содержимого памяти, однако в отчёте указан главный результат: приложение перестаёт отвечать.
Запись за границами буфера при включённой App Protection
CVE-2026-84419 описывает запись за границами буфера, она же CWE-787. Для срабатывания нужны два условия: локальный доступ к целевой системе и включённая функция App Protection. Она ограничивает перехват нажатий клавиш и снимков экрана, поэтому в компаниях, где эту функцию не включают, уязвимость себя не проявляет.
Оценка 6.8 по CVSS 4.0 учитывает только нарушение доступности. Влияния на конфиденциальность и целостность в векторе нет: последствие - отказ в обслуживании, а не утечка. Порог входа при этом низкий. Особой подготовки не требуется, прав обычного пользователя достаточно.
Чтение и запись за границами буфера у локального пользователя
CVE-2026-84420 объединяет две ошибки: запись (CWE-787) и чтение за границами буфера (CWE-125). Дополнительных условий, кроме локального доступа, нет. Значит, под угрозой все, кто работает с приложением на своей машине. Зато сложность эксплуатации вендор оценил как высокую, а сценарий - как требующий совпадения обстоятельств.
Оценка здесь ниже, 5.8, хотя последствия шире: к отказу в обслуживании добавляются утечка и подмена данных с низким влиянием. Из-за этого вторая уязвимость выглядит менее значимой, чем первая, и такой вывод будет ошибкой. Балл отражает не только ущерб, но и трудность атаки.
Какие версии закрывают проблему
Исправления вошли в Citrix Workspace App для Windows 2603.20 и более поздние сборки текущей ветки. В долгосрочной ветке LTSR пороги различаются. CVE-2026-84419 закрыта в LTSR 2607 Hotfix 1 и в LTSR 2507 CU3 Hotfix 1, а CVE-2026-84420 - уже в базовых LTSR 2607 и LTSR 2507 CU3.
Уязвимы сборки до этих версий: текущая ветка ниже 2603.20; для первой проблемы - LTSR ниже 2607 Hotfix 1 и ниже 2507 CU3 Hotfix 1; для второй - LTSR ниже 2607 и ниже 2507 CU3. Эта разница важна. Компания, которая обновилась до LTSR 2607 и остановилась на этом, закрыла только вторую уязвимость.
Администраторам полезно сверить парк машин с этим списком. Клиент устанавливают вручную или через системы управления конфигурацией, и часть рабочих мест легко выпадает из процесса обновления. Переход на 2603.20, LTSR 2607 Hotfix 1 или LTSR 2507 CU3 Hotfix 1 закрывает обе уязвимости сразу. Обходных мер вендор не предлагает. Признаков эксплуатации в реальных атаках в бюллетене тоже нет.
Локальные уязвимости в клиентском ПО редко попадают в сводки, потому что требуют доступа к самой машине. Между тем именно такие ошибки превращают рабочее место в удобную точку для отказа в обслуживании и ограниченной утечки. Сверка версий клиента Citrix здесь не менее важна, чем своевременные обновления серверной части.
Ссылки
