米国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間7月20日、Citrix Systemsのネットワーク製品に存在する脆弱（ぜいじゃく）性を悪用したサイバー攻撃を確認したとして警戒情報を発令した。脆弱性の修正パッチもしくは悪用回避策を早急に適用するよう呼びかけている。
Citrixによると、アプリケーション配信制御（ADC）製品の「NetScaler ADC」（旧称Citrix ADC）と、SSL VPN製品の「NetScaler Gateway」（同Citrix Gateway）には、認証されていない第三者による遠隔からの任意のコード実行（CVE-2023-3519）と、リフレクテッドクロスサイトスクリプティング（CVE-2023-3466）、root管理者への権限昇格の3件の脆弱性が存在する。
脆弱性の概要（出典：Citrix）
※クリックすると拡大画像が見られます
このうちCVE-2023-3519の脆弱性は、既に悪用攻撃の発生が確認された。Citrixは18日に脆弱性を修正するパッチと脆弱性の悪用による影響を緩和する方法、詳細情報をリリースした。影響を受ける製品のうちバージョン 12.1は、既に同社のサポートが終了しているため、同社がサポートを継続しているバージョンに更新する必要がある。
CISAによれば、6月に米国の重要インフラ組織でCVE-2023-3519の脆弱性を悪用するサイバー攻撃が発生した。攻撃者は、この組織の本番稼働ではない環境に設置されていたNetScaler ADCのアプライアンスで脆弱性を悪用して不正なウェブシェルを展開。NetScaler ADCの設定情報を入手、悪用して、組織内のネットワークに侵入した。
さらに、組織の認証基盤の「Active Directory」（AD）に侵入し、ADに登録されている資格情報を不正に取得、これを悪用して侵入範囲を広げようとしたが、組織側が講じていたネットワークセグメンテーション制御のセキュリティ対策によって、侵入をブロックされたという。
重要インフラ組織は、この事象をCitrixと7月にはCISAへ報告。Citrixが修正パッチなどを緊急に開発して、18日に対策方法をリリースした。CISAも20日付で「MITRE ATT＆CK」に基づく攻撃の分析情報を公開している。
