Citrix Session Recording のデシリアライズで限定的RCE（悪用確認済み）

High（CVSS 8.0）に分類されるCitrix Citrix Session Recordingの脆弱性です。Citrix Session Recording に信頼できないデータのデシリアライズの欠陥があり、セッション記録サーバと同じイントラネット上の認証済みユーザーが、NetworkService アカウントの権限で限定的なリモートコード実行を行える。前提は同一イントラネットからの認証済みアクセスで、CVE-2024-8068 と同じ公報 CTX691941 で公表された姉妹関係の脆弱性である。二つを合わせると、社内から記録サーバ上でコードを動かしサービス権限を握る流れが成立する。影響範囲は NVD の CPE で 2407 より前の全バージョンと、LTSR の 1912（CU1 から CU8）、2203（CU1 から CU5）、2402、および 2407。公報は修正を Current Release の 2407 hotfix 24.5.200.8 以降、LTSR の 1912 CU9 hotfix 19.12.9100.6 以降、2203 CU5 hotfix 22.03.5100.11 以降、2402 CU1 hotfix 24.02.1200.16 以降としている。CVSS は評価元で分かれ、NVD（Primary）が CVSS 3.1 で 8.0 High（AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、Citrix（CNA）が CVSS 4.0 で 5.1 Medium（AV:A/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N）としている。CISA KEV には 2025-08-25 に収載され、是正期限は 2025-09-15。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。

対応は CVE-2024-8068 と同一の hotfix 適用で片付くため、二件を一つの作業としてまとめる。判定は記録サーバ上の Citrix Session Recording の製品バージョンで行い、CR 系は 24.5.200.8 以降、1912 LTSR は 19.12.9100.6 以降、2203 LTSR は 22.03.5100.11 以降、2402 LTSR は 24.02.1200.16 以降になっているかを確認する。CU の番号だけを見て済ませないことが要点で、修正の実体は CU の上に当てる hotfix である。役割別に配布物が分かれているため、Session Recording Server 側だけでなくエージェントとプレイヤーの版も棚卸しする。すぐ更新できない場合、fact に公式の回避策の記載は無いので、緩和は到達経路を絞ることになる。デシリアライズを突く通信は記録サーバの待ち受けに向くため、記録サーバへの接続元をエージェントが動く VDA と管理端末に限定し、一般ユーザーのセグメントから直接届かないようにする。記録サーバをインターネットに露出させている構成があるなら即座に閉じる。KEV 収載済みで実際に悪用されている脆弱性なので、更新後の確認まで含めて計画する。NetworkService 権限でのコード実行を許した可能性を前提に、サービスアカウントとローカルアカウントの資格情報を再発行し、記録サーバ上の不審なプロセスやスケジュールタスク、記録データベースへの想定外のクエリ、外向き通信の痕跡を確認する。同一イントラネットからの攻撃が前提であるため、侵入経路として先に踏まれた端末が残っている可能性も併せて追う。完了条件は、記録サーバとエージェントが hotfix 適用済み、資格情報の再発行済み、痕跡調査の結果を記録済みの3点。是正期限 2025-09-15 は既に過ぎており、未適用の記録サーバが残っているなら期限超過として扱う。

Citrix Citrix Session Recording を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2024-8069）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/15 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。