直しただけでは足りない ― Citrix NetScalerでセッションの全終了まで求められた（2023年10月）
Citrix NetScaler ADC および NetScaler Gateway のバッファオーバーフローについて、CISAは緩和策の適用に加えて、アクティブおよび永続のセッションをすべて終了するよう求めました。緩和策が無い場合は使用中止です。
脆弱性の基本情報
- CVE番号CVE-2023-4966
- 対象（ベンダー／製品）Citrix NetScaler ADC and NetScaler Gateway
- CWECWE-119
- 悪用状況CISA KEV 掲載（実際の悪用を確認）／ランサムウェアでの悪用も確認
- 是正期限2023-11-08（米連邦民生機関・BOD 22-01）
要点
- CVE-2023-4966 は Citrix NetScaler ADC および NetScaler Gateway のバッファオーバーフローの脆弱性です。
- ゲートウェイ（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）または AAA 仮想サーバーとして構成されている場合に、機微な情報の開示を許します。
- 要求される措置は、緩和策の適用に加えてアクティブおよび永続のセッションをすべて終了することです。
- 緩和策が利用できない場合は、当該製品の使用を中止するよう求められています。
- 掲載は2023年10月18日、期限は11月8日で猶予は21日。2026年9月5日時点で当サイトが保持する解説のない1,579件では「使用中止」を含む命令が602件（38.1%）です。
1塞いでも、持ち出されたものは戻らない
前の記事では、攻撃者が作ったアカウントが修正後も残るために、侵害の判定が求められた項目を見ました。この項目でも同じ構図が現れますが、残るものが違います。残るのはセッションです。
2二つを同時に求める
この脆弱性は、機微な情報の開示を許すものです。開示された情報を使えば、脆弱性が塞がれた後でも、既に確立された経路をたどれる可能性が残ります。セッションの終了は、その経路を断つための措置として置かれています。
3「かつ」で結ばれた命令
「緩和策を適用せよ、無理なら使うな」という二択は252件あり、定型のひとつです。この項目はその定型に「かつ全セッションを終了せよ」を足した形をしています。定型からの逸脱が、脆弱性の性質を語っています。
4猶予は21日
掲載2023年10月18日、期限は11月8日で21日。これは最も多い猶予日数です。前の記事の4日と比べると長く見えますが、求められる作業は多い。猶予の長さと、作業の重さは別々に決まっています。
次の記事では、運用に戻す前に、探索・是正・更新をこの順で行えと求めた項目を見ます。
なぜ重要か
脆弱性を塞いでも、その脆弱性を通じて外に出たものは戻らない。機微な情報の開示を許す脆弱性では、開示された情報から既存の経路をたどられうるため、命令は緩和策の適用に「かつ全セッションの終了」を足す。定型の二択（緩和するか使用をやめるか）に一項目を足したその形が、脆弱性の性質をそのまま語っている。
よくある質問（FAQ）
なぜセッションの終了まで必要なのですか？
どのような構成が影響を受けますか？
緩和策が無い場合はどうするのですか？
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。