Dwie podatności wykryte w NetScaler ADC i NetScaler Gateway
Dwie podatności wykryte w NetScaler ADC i NetScaler Gateway niosą poważne ryzyko dla środowisk wykorzystujących te rozwiązania jako element infrastruktury dostarczania aplikacji i dostępu zdalnego. Pierwsza luka umożliwia odczyt danych spoza dozwolonego obszaru pamięci przy konfiguracji urządzenia jako SAML IdP, co może prowadzić do wycieku wrażliwych informacji. Druga wynika z błędu race condition i może powodować mieszanie sesji użytkowników, wpływając na ich bezpieczeństwo i integralność działania usług VPN oraz AAA. Obie podatności wymagają pilnego zastosowania poprawek na wskazanych wersjach NetScaler.
NetScaler ADC to Application Delivery Controller, czyli urządzenie/aplikacja wykorzystywana w firmach do:
- poprawy wydajności aplikacji (load balancing),
- zapewniania wysokiej dostępności,
- ochrony aplikacji (firewall, kontrola dostępu),
- terminacji SSL, optymalizacji ruchu.
Charakterystyka podatności CVE-2026-3055
- CVE-2026-3055
- CVSS: 4.0 9,3 (Critical)
Jak działa podatność
Podatność wynika z niewystarczającej walidacji danych wejściowych (Out-of-bounds Read) i może prowadzić do ujawnienia danych z pamięci urządzenia. Występuje, kiedy urządzenie skonfigurowane jest jako SAML Identity Provider (IdP).
Charakterystyka podatności CVE-2026-3055
- CVE-2026-4368
- CVSS: 4.0 7,5 (High)
Jak działa podatność
Podatność związana jest z błędem typu race condition, który może prowadzić do mieszania sesji użytkowników (User Session Mixup). Występuje, kiedy urządzenie działa jako Gateway (SSL VPN, ICA Proxy, CVPN, RDP Proxy) lub jako AAA virtual server.
Podatne systemy
Luka w zabezpieczeniach dotyczy oprogramowania:
- NetScaler ADC/NetScaler Gateway w wersjach 14.1 wcześniejsze niż 14.1-66.59 13.1 wcześniejsze niż 13.1-62.23
- NetScaler ADC FIPS oraz NDcPP w wersjach wcześniejsze niż 13.1-37.262
Rekomendowane działania
Wgranie poprawek zgodnie z zaleceniem producenta.