Citrix phát hành bản vá cho 6 lỗ hổng NetScaler ADC/Gateway gây đọc tệp tùy ý và từ chối dịch vụ
"Citrix released security updates for multiple NetScaler ADC and NetScaler Gateway vulnerabilities that could allow arbitrary file reads or denial-of-service, including CVE-2026-8451, CVE-2026-8452, CVE-2026-8655, CVE-2026-10816, CVE-2026-10817, and CVE-2026-13474. Fixed builds are available in NetScaler ADC/Gateway 14.1-72.61+, 13.1-63.18+, and related FIPS/NDcPP releases; CVE-2026-13474 also requires setting Http2SmallWndTimeout to 30 seconds in some configurations."
Nguy cơ cao do có thể dẫn tới đọc tệp tùy ý và DoS trên NetScaler ADC/Gateway. Điểm cần chú ý gồm CVE-2026-10816 (file read không xác thực) và CVE-2026-13474 (DoS qua HTTP/2).
Tác động vận hành có thể đáng kể vì DoS ảnh hưởng tính sẵn sàng của dịch vụ truy cập/điều phối. Ngoài ra, khả năng đọc tệp có thể làm tăng rủi ro rò rỉ thông tin cấu hình, buộc doanh nghiệp phải ưu tiên cập nhật bản vá và rà soát tham số HTTP/2.
Citrix vừa công bố các bản cập nhật bảo mật cho NetScaler ADC và NetScaler Gateway nhằm khắc phục nhiều lỗi có thể bị khai thác để đọc tệp tùy ý hoặc gây từ chối dịch vụ (DoS). Theo thông tin công bố, các lỗ hổng gồm: CVE-2026-8451 và CVE-2026-8452 (liên quan kiểm tra đầu vào/ tràn bộ nhớ dẫn đến lỗi đọc vượt biên hoặc hành vi không xác định và DoS), CVE-2026-8655 (nhiều lỗi tràn bộ nhớ trong các cấu hình LB/DNS), CVE-2026-10816 (cho phép đọc tệp tùy ý không cần xác thực khi có bật truy cập quản trị tới NSIP/Cluster Management IP/SNIP), CVE-2026-10817 (đọc vượt biên khi bật TCP TimeStamp), và CVE-2026-13474 (DoS qua yêu cầu HTTP/2 được tạo sai khi HTTP/2 bật trong HTTP Profile).
Bản vá có trong các bản phát hành NetScaler ADC/Gateway 14.1-72.61+, 13.1-63.18+, cùng các nhánh FIPS và NDcPP tương ứng. Riêng CVE-2026-13474 yêu cầu rà soát cấu hình: nếu không dùng HTTP Strict Profiles (giá trị mặc định Http2SmallWndTimeout=0), cần đặt thủ công Http2SmallWndTimeout=30 bằng lệnh set ns httpProfile <profile_name> -http2SmallWndTimeout <value_in_seconds>. Không có bằng chứng lạm dụng ngoài thực tế được nêu trong thông báo.