研究人員揭露NetScaler設備高風險漏洞，問題類似去年爆發的Citrix Bleed漏洞

資安業者Bishop Fox透露，他們在今年1月下旬發現Citrix NetScaler ADC及NetScaler Gateway記憶體越界讀取漏洞，並指出該漏洞存在於該系統進行身份驗證、授權、稽核（AAA），以及遠端存取的元件，影響13.1-50.23版NetScaler ADC及NetScaler Gateway，對此，Citrix向研究人員回覆，他們後續推出的13.1-51.15版已不受影響。

針對這項漏洞，研究人員指出，一旦NetScaler設備配置為閘道或AAA虛擬伺服器，攻擊者就有機會遠端竊取敏感資訊，過程中無須通過身分驗證。他們認為對方有機會從記憶體還原特定資料，因為研究人員觀察到NetScaler設備洩露POST請求的現象，而這種請求很有可能內含帳密資料或是cookie。

值得留意的是，他們也提及該漏洞與去年造成重大災情的Citrix Bleed（CVE-2023-4966）幾乎一樣，因為新漏洞出現在閘道或AAA虛擬伺服器處理HTTP伺服器請求，與Citrix Bleed形成的原因完全一樣，差別是新漏洞危害較輕，不會直接洩露高度敏感的資訊。

雖然研究人員1月25日向Citrix通報此事，該廠商回應該漏洞確實存在，但他們隨後在2月2日表示，1月16日上架的13.1-51.15版不受影響。然而在相關發行公告文件裡，表明該版本僅針對CVE-2023-6548、CVE-2023-6549兩項資安漏洞進行修補。

這可能有幾種情況，例如：該公司有可能已得知此弱點並著手處理，但並未向用戶公告，或者，他們認為這並非資安漏洞，而沒有公開相關資訊。對此，新聞網站Dark Reading、CSO Online推測，Citrix應該是悄悄對NetScaler進行修補。