Ситрикс издаде поправки за критична уязвимост в НетСкейлър

Ситрикс издаде актуализации за сигурност, които отстраняват критична уязвимост в НетСкейлър ЕйДиСи и НетСкейлър Гейтуей, съобщиха на 9 октомври Секюритиуик и Секюрити Афеърс. Пропускът, обозначен като СиВиИ-2026–107 406, може да позволи отдалечено изпълнение на код или отказ на услуга при определени настройки.

По данни на Секюрити Афеърс уязвимостта се дължи на препълване на паметта и носи оценка 9,5 по СиВиЕсЕс. Засегнати са само устройства, настроени като доставчик на услуги или като доставчик на идентичност по стандарта САМЛ, а според Ситрикс въздействието зависи от конфигурацията на системата.

Компанията твърди, че когато е публикувала бюлетина си, не е знаела за експлойти или за атаки в реални условия, които използват този пропуск.

Поправката е включена във версии 14,1–73,46 и по-нови, както и в 13,1–64,29 и по-нови от клона 13,1. Уязвимостта е докладвана на Ситрикс от Майкъл Тъкър, Чу Кьонг Тан и Алекс Берние от Джей Пи Морган Чейс, както и от Максим Суханов.

Наскоро Ситрикс потвърди активна експлоатация на две други уязвимости в неактуализирани системи, всяка с оценка 9,5. Тази седмица американската агенция СИСА добави в каталога си на експлоатираните уязвимости още един пропуск в НетСкейлър, СиВиИ-2026–88 779, свързан с препълване на паметта. Той може да доведе до отказ на услуга и засяга внедрявания, управлявани от клиентите.