2023年10月10日、Citrixは、NetScaler ADCおよびNetScaler Gatewayアプライアンスに影響する機密情報漏洩に関する脆弱性（CVE-2023-4966）についてのセキュリティ情報を公開しました。

Mandiant は、2023 年 8 月下旬からこの脆弱性を悪用するゼロデイ攻撃を確認しています。攻撃者が悪用に成功すると、既存の認証済みセッションをハイジャックし、多要素認証やその他の強力な認証要件をバイパスできる可能性があります。また、これらのセッションは、CVE-2023-4966 を緩和するアップデートが配布された後も存続する可能性があります。さらに、パッチが適用される前にセッションデータが窃取され、その後に攻撃者によって使用されるセッションハイジャックも確認されています。

認証されたセッションのハイジャックによって、攻撃者はその ID またはセッションが許可されていたアクセス権とアクセス範囲に基づいて、さらに下流のアクセスを得られる可能性があります。攻撃者はこの方法を利用することで、追加の認証情報を取得し、横方向に展開し、環境内の追加リソースにアクセスすることができます。

現在までに、Mandiant はこの脆弱性がプロフェッショナルサービス業、テクノロジー業界、および政府組織において悪用されているのを確認しています。

これらの観測に基づき、Mandiantはこの脆弱性に関連するリスクを軽減し、修復するための追加の手順を提供しています。詳細については CVE-2023-4966 ガイダンス文書（英語）をご確認ください。

影響を受けるバージョン

以下のバージョンの NetScaler ADC および Gateway アプライアンスが、この脆弱性の影響を受けます：

• NetScaler ADC and NetScaler Gateway 14.1 before 14.1-8.50
• NetScaler ADC and NetScaler Gateway 13.1 before 13.1-49.15
• NetScaler ADC and NetScaler Gateway 13.0 before 13.0-92.19
• NetScaler ADC 13.1-FIPS before 13.1-37.164
• NetScaler ADC 12.1-FIPS before 12.1-55.300
• NetScaler ADC 12.1-NDcPP before 12.1-55.300

  注：NetScaler ADCおよびNetScaler Gatewayバージョン12.1は、現在EOL（End-of-Life）であり、このバージョンにも脆弱性があります。

Citrixは、Citrixが管理するクラウドサービスまたはCitrixが管理するAdaptive Authenticationを使用している顧客は、CVE-2023-4966の影響を受けないとしています。