[TLP:CLEAR] Citrix NetScaler ADC a NetScaler Gateway opravují 2 zranitelnosti
Citrix opravuje 2 zranitelnosti v různých produktech [1]. Jednotlivé produkty a jejich opravy: NetScaler ADC a NetScaler Gateway - 14.1-60.58, 14.1-66.59, 13.1-62.23 [1] NetScaler ADC FIPS a NDcPP - 13.1-37.262 [1]
Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečné validaci vstupu umožněno získat citlivé informace z paměti zařízení, pokud je NetScaler ADC nebo NetScaler Gateway nakonfigurován jako SAML Identity Provider [1]
Zranitelnost se nachází v produktech:
- NetScaler ADC ve verzích (>=14.1 AND <14.1-60.58) OR (>=13.1 AND <13.1-62.23)
- NetScaler Gateway ve verzích (>=14.1 AND <14.1-60.58) OR (>=13.1 AND <13.1-62.23)
- NetScaler ADC FIPS ve verzích <13.1-37.262
- NetScaler ADC NDcPP ve verzích <13.1-37.262
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L
Více informací:
- CVE-2026-3055 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-125: Out-of-bounds Read at cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 3. 2026.
Neautentizovanému vzdálenému útočníkovi je kvůli race condition umožněna záměna uživatelských relací a získání přístupu k relaci jiného uživatele, pokud je NetScaler ADC nebo NetScaler Gateway nakonfigurován jako Gateway nebo AAA server [1].
Zranitelnost se nachází v produktech:
- NetScaler ADC ve verzích =14.1-66.54
- NetScaler Gateway ve verzích =14.1-66.54
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Více informací:
- CVE-2026-4368 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') at cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 3. 2026.
Za CESNET-CERTS Michaela Jarošová dne 30. 3. 2026.
