一、前言：
2021年11月11日。關于CitrixADC，Gateway和SD-WANWANOP産品釋出的安全隐患問題（CTX330728），思傑在釋出的同時針對loudong釋出了修複版本。這些loudong必須具備相應複雜及複合條件才可被利用。
二、官方KB連結：
https://support.citrix.com/article/CTX330728
三、loudong利用難度：困難
四、loudong描述：
高風險loudongCVE-2021-22955影響範圍
•Citrix ADC and Citrix Gateway 13.0-83.27之前的版本
•Citrix ADC and CitrixGateway 12.1-63.22 之前的版本
•Citrix ADC andNetScaler Gateway 11.1-65.23 之前的版本
•Citrix ADC 12.1-FIPS12.1-55.257之前的版本
低風險loudongCVE-2021-22956影響範圍
•Citrix ADC and Citrix Gateway 13.0-83.27之前的版本
•Citrix ADC and CitrixGateway 12.1-63.22 之前的版本
•Citrix ADC andNetScaler Gateway 11.1-65.23 之前的版本
•Citrix ADC 12.1-FIPS12.1-55.257之前的版本
•Citrix SD-WANWANOP 11.4.2之前的版本
•Citrix SD-WANWANOP 10.2.9c之前的版本
五、應對措施及解決方案一
對上述loudong安全風險高度重視，Citrix在獲悉loudong資訊後第一時間啟動緊急響應機制，并提供loudong修複版本，可以通過更新最新軟體版本避免遭受安全威脅。
- 高風險loudongCVE-2021-22956，更新至最新修複版本
- 低風險loudongCVE-2021-22956隻影響對GUI、Nitro API和RPC通信的通路，不影響CLI通路。思傑強烈建議将裝置管理界面的網絡流量從實體上或邏輯上與業務的網絡流量分開。這樣做将大大降低利用這個問題的風險。
- 更多資訊請參見https://docs.citrix.com/en-us/citrix-adc/citrix-adc-secure-deployment/secure-deployment-guide.html。
在更新至修複版本後，根據https://support.citrix.com/article/CTX331588。完成如下配置解決loudong：
| 1.确認目前裝置MaxClients值（預設為30） root@ns# grep MaxClients /etc/httpd.conf # XXX MaxClients renamed to MaxRequestWorkers in 2.4, butstill supported. MaxClients 30 2.設定maxclientForHttpdInternalService參數為MaxClients值 root@ns# nsapimgr_wr.sh -ysmaxclientForHttpdInternalService=30 Number of PEs running: 1 Changing maxclientForHttpdInternalService from 0 to 30 Done. 3.将配置修改寫入rc.netscaler檔案確定裝置重新開機配置仍然生效 root@ns# touch /nsconfig/rc.netscaler root@ns# chmod a+x /nsconfig/rc.netscaler root@ns# echo "nsapimgr_wr.sh -ys maxclientForHttpdInternalService=30">> /nsconfig/rc.netscaler root@ns# more /nsconfig/rc.netscaler nsapimgr_wr.sh -ys maxclientForHttpdInternalService=3 |
具體修複版本資訊如下表
五、應對措施及解決方案二
針對以上問題，請及時更新，下載下傳更新包：https://www.citrix.com/downloads/citrix-adc/firmware/release-13-0-build-83-27.html
Netscaler備份現有配置
| 指令行下運作： Save config Save ns config |
檔案傳輸
| 通過WinSCP或SSHSecure File Transfer等SSH工具上NS13.058.32_nc至NetScaler下的/var/nsinstall |
檔案解壓
| 解壓build 檔案:tar -xzf build- 13.0 83.27_nc.taz 安裝完畢，按提示重新開機 NetScaler； 檢視現在版本show version |