Citrix Session Recording の権限昇格（悪用確認済み）

High（CVSS 8.0）に分類されるCitrix Citrix Session Recordingの脆弱性です。Citrix Session Recording に権限管理の欠陥があり、セッション記録サーバと同じ Windows Active Directory ドメインで認証済みのユーザーが、NetworkService アカウントの権限へ昇格できる。外部から素通しで攻撃できるものではないが、社内の一般ユーザー一人が、仮想デスクトップとアプリの操作を記録しているサーバ上のサービス権限を取れるという意味になる。影響範囲は NVD の CPE で 2407 より前の全バージョンと、LTSR の 1912（CU1 から CU8）、2203（CU1 から CU5）、2402、および 2407 が挙げられている。ベンダー公報 CTX691941 は、修正を Current Release では 2407 hotfix 24.5.200.8 以降、LTSR では 1912 CU9 hotfix 19.12.9100.6 以降、2203 CU5 hotfix 22.03.5100.11 以降、2402 CU1 hotfix 24.02.1200.16 以降としている。CVSS は評価元で分かれ、NVD（Primary）が CVSS 3.1 で 8.0 High（AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、Citrix（CNA）が CVSS 4.0 で 5.1 Medium（AV:A/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L）である。CISA KEV には 2025-08-25 に収載され、是正期限は 2025-09-15。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。

判定は Session Recording サーバ側で行う。Windows の「プログラムと機能」または PowerShell の Get-ItemProperty で Citrix Session Recording の製品バージョンを取り、CR 系なら 24.5.200.8 以降、1912 LTSR なら 19.12.9100.6 以降、2203 LTSR なら 22.03.5100.11 以降、2402 LTSR なら 24.02.1200.16 以降かを見る。ここで見落としやすいのは、CU 番号だけを見て安心してしまう点である。CU の上に載せる hotfix が修正の実体なので、2203 CU5 だから対応済みと判断すると穴が残る。配布物は Session Recording Server（Broker、Storage Manager、データベース）とエージェント、プレイヤーに分かれているため、版の確認は役割ごとに行う。負荷分散した記録サーバの一部だけが古いまま残る事故も起きやすい。すぐに更新できない場合、fact に公式の回避策の記載は無いため、緩和は攻撃の前提を潰す方向になる。前提は同一 AD ドメインの認証済みユーザーからの到達なので、記録サーバへのネットワーク到達を管理セグメントと必要なエージェントだけに絞り、記録サーバを一般ユーザーのセグメントから隔離する。これは KEV に載った実悪用案件であり、更新だけでは終わらない。NetworkService 権限まで取られた場合の後始末として、記録サーバのローカルアカウントとサービスアカウントの資格情報を再発行し、記録データベースへの不審なアクセスや記録ファイルの欠落を確認し、同ドメインの他ホストへの横展開の痕跡を追う。完了条件は、全ての記録サーバとエージェントが hotfix 適用済みであること、資格情報の再発行が済んでいること、痕跡調査の結果が残っていること。是正期限 2025-09-15 は経過しているため、未適用機が残っていれば期限超過扱いとする。

Citrix Citrix Session Recording を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2024-8068）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/15 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。