El aviso enumera tener acceso previo a NetScaler IP (NSIP), Cluster IP (CLIP) o Subnet IP (SNIP) con acceso a la interfaz de administración como requisito previo para la explotación de CVE-2023-6548. La vulnerabilidad tiene una puntuación de 5,5 en el sistema de puntuación de vulnerabilidad común (CVSS), lo que la convierte en una falla con una criticidad «media».
CVE-2023-6549, con una puntuación CVSS de 8,2, es una vulnerabilidad con una criticidad «alta» y requiere que los dispositivos estén «configurados como una puerta de enlace (servidor virtual VPN, proxy ICA, CVPN, proxy RDP)», según el consultivo.
Los dispositivos afectados ejecutan versiones anteriores
Los dispositivos afectados incluyen los que ejecutan versiones obsoletas de NetScaler ADC y NetScaler Gateway. Las versiones defectuosas incluyen NetScaler ADC y NetScaler Gateway 13.0 (antes de 13.0-92.21), 13.1 (antes de 13.1-51.15) y 14.1 (14.1-12.35).
Además, las versiones compatibles con el Estándar federal de procesamiento de información (FIPS), incluidas NetScaler ADC FIPS 12.1 (antes de 12.1-55.302) y 13.1 (antes de 13.1-37.176), también se ven afectadas. NetScaler ADC 12.1-NDcPP anterior a 12.1-55.302, compatible con el perfil de protección colaborativa de dispositivos de red, también se ve afectado.
«NetScaler ADC y NetScaler Gateway versión 12.1 ahora están al final de su vida útil (EOL) y son vulnerables», agregó Citrix.
Citrix ha recomendado a los clientes que actualicen inmediatamente a las últimas versiones compatibles a medida que solucionan estas vulnerabilidades. «Se han observado vulnerabilidades de estos CVE en dispositivos no mitigados», dijo Citrix. «Cloud Software Group insta encarecidamente a los clientes afectados de NetScaler ADC y NetScaler Gateway a instalar las versiones actualizadas pertinentes lo antes posible». citrix Descubierto recientemente múltiples vulnerabilidades de alta gravedad en las mismas líneas de productos.