Citrix исправляет критическую ошибку в NetScaler

Компания Citrix сообщила о двух уязвимостях, одна из которых является критической, в своих продуктах NetScaler ADC и NetScaler Gateway. По информации компании, оба бага связаны с буфером: CVE-2023-4966 – уязвимость раскрытия информации с критическим CVSS-рейтингом 9.4, и CVE-2023-4967 – уязвимость отказа в обслуживании с CVSS-рейтингом 8.2 (детали пока не опубликованы). Уязвимость существует только в том случае, если устройство настроено как шлюз или виртуальный сервер аутентификации, авторизации и учета. Были выпущены исправления для затронутых версий ПО, за исключением версии 12.1, которая является устаревшей. Кроме того, Citrix выпустила патчи для устранения уязвимостей сторонних поставщиков в своем гипервизоре, запущенном на процессорах AMD. Всего было обнаружено пять уязвимостей, из которых только одна была полностью раскрыта AMD. Примером является CVE-2023-20588 – ошибка “деления на ноль” на некоторых процессорах AMD, которая может “потенциально возвращать спекулятивные данные, приводящие к потере конфиденциальности”. Остальные уязвимости имеют зарезервированные CVE-номера, но еще не опубликованы. Обратите внимание, что в Citrix была допущена ошибка в отчете; одна из уязвимостей, CVE-2022-1304, имеет номер CVE ошибки в e2fsprogs, согласно NIST.

Оригинальная новость на сайте