NetScaler ADC/Gateway のメモリ破壊で未認証RCE（悪用確認済み）

Critical（CVSS 9.8）に分類されるCitrix NetScaler ADC / NetScaler Gatewayの脆弱性です。NetScaler ADC と NetScaler Gateway にメモリオーバーフローがあり、リモートから任意コード実行あるいはサービス停止を引き起こせる。成立条件は構成側にあり、Citrix は、Gateway 構成（VPN 仮想サーバ、ICA Proxy、CVPN、RDP Proxy）または AAA 仮想サーバ、HTTP・SSL・HTTP_QUIC 型の LB 仮想サーバに IPv6 のサービスやサービスグループ（DBS を含む）をバインドした構成、HDX 型の CR 仮想サーバのいずれかを挙げている。CPE 上の影響範囲は 14.1-47.48 未満、13.1-59.22 未満、FIPS と NDcPP は 13.1-37.241 未満および 12.1-55.330 未満である。CVSS は評価元で分かれており、NVD（Primary）が CVSS 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、Citrix（CNA）が CVSS 4.0 で 9.2 Critical（CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L）である。差は攻撃条件の見方に出ている。CISA KEV には 2025-08-26 に収載され、是正期限は2日後の 2025-08-28。ランサムウェア利用は Unknown。NVD の vulnStatus は Analyzed。

まず自機のビルド番号を確認する。CLI なら show version、GUI なら管理画面のダッシュボード上部で、14.1 系は 14.1-47.48 以上、13.1 系は 13.1-59.22 以上、FIPS と NDcPP は 13.1-37.241 以上あるいは 12.1-55.330 以上になっているかを見る。次に構成が該当するかを show vpn vserver、show aaa、show lb vserver、show cr vserver で確認するが、判定を構成で絞りすぎない方がよい。条件が四通りあり、IPv6 サービスをバインドした LB 仮想サーバや HDX 型 CR 仮想サーバまで含めて数えると、Gateway 用途でなくても該当する構成が残っていることが多い。見落としやすいのは、HA ペアの片側だけ更新して相手側が古いまま残る、SDX の上に載っている複数の VPX インスタンスを個別に上げ忘れる、クラウドや仮想環境に置いた VPX が資産台帳から漏れている、といった箇所である。すぐ更新できない場合、fact に公式の回避策の記載は無いため、緩和は経路を閉じる方向しか無い。具体的には Gateway と AAA 仮想サーバの外部公開を一時的に止め、管理用の NSIP を外部から到達不能にする。これは実際に悪用されている脆弱性なので、更新だけで終わりにはならない。更新後に既存セッションを全て破棄し、ローカル管理者アカウントのパスワード、LDAP や RADIUS のバインド資格情報、TOTP のシークレット、機器に載せた証明書と鍵を再発行し、設定ファイルに見知らぬ変更や不明なバインドが無いかを差分で確認する。完了条件は、全台のビルドが修正版以上であること、資格情報と鍵の再発行が済んでいること、痕跡調査の結果が記録されていること、この3点である。是正期限 2025-08-28 は既に大きく過ぎており、未更新機が残っているなら期限超過として扱う。

Citrix NetScaler ADC / NetScaler Gateway を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-7775）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/08/28 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。