一、前言：
2021年11月11日。关于CitrixADC，Gateway和SD-WANWANOP产品发布的安全隐患问题（CTX330728），思杰在发布的同时针对loudong发布了修复版本。这些loudong必须具备相应复杂及复合条件才可被利用。
二、官方KB链接：
https://support.citrix.com/article/CTX330728
三、loudong利用难度：困难
四、loudong描述：
高风险loudongCVE-2021-22955影响范围
•Citrix ADC and Citrix Gateway 13.0-83.27之前的版本
•Citrix ADC and CitrixGateway 12.1-63.22 之前的版本
•Citrix ADC andNetScaler Gateway 11.1-65.23 之前的版本
•Citrix ADC 12.1-FIPS12.1-55.257之前的版本
低风险loudongCVE-2021-22956影响范围
•Citrix ADC and Citrix Gateway 13.0-83.27之前的版本
•Citrix ADC and CitrixGateway 12.1-63.22 之前的版本
•Citrix ADC andNetScaler Gateway 11.1-65.23 之前的版本
•Citrix ADC 12.1-FIPS12.1-55.257之前的版本
•Citrix SD-WANWANOP 11.4.2之前的版本
•Citrix SD-WANWANOP 10.2.9c之前的版本
五、应对措施及解决方案一
对上述loudong安全风险高度重视，Citrix在获悉loudong信息后第一时间启动紧急响应机制，并提供loudong修复版本，可以通过升级最新软件版本避免遭受安全威胁。
- 高风险loudongCVE-2021-22956，升级至最新修复版本
- 低风险loudongCVE-2021-22956只影响对GUI、Nitro API和RPC通信的访问，不影响CLI访问。思杰强烈建议将设备管理界面的网络流量从物理上或逻辑上与业务的网络流量分开。这样做将大大降低利用这个问题的风险。
- 更多信息请参见https://docs.citrix.com/en-us/citrix-adc/citrix-adc-secure-deployment/secure-deployment-guide.html。
在升级至修复版本后，根据https://support.citrix.com/article/CTX331588。完成如下配置解决loudong：
| 1.确认当前设备MaxClients值（默认为30） root@ns# grep MaxClients /etc/httpd.conf # XXX MaxClients renamed to MaxRequestWorkers in 2.4, butstill supported. MaxClients 30 2.设置maxclientForHttpdInternalService参数为MaxClients值 root@ns# nsapimgr_wr.sh -ysmaxclientForHttpdInternalService=30 Number of PEs running: 1 Changing maxclientForHttpdInternalService from 0 to 30 Done. 3.将配置修改写入rc.netscaler文件确保设备重启配置仍然生效 root@ns# touch /nsconfig/rc.netscaler root@ns# chmod a+x /nsconfig/rc.netscaler root@ns# echo "nsapimgr_wr.sh -ys maxclientForHttpdInternalService=30">> /nsconfig/rc.netscaler root@ns# more /nsconfig/rc.netscaler nsapimgr_wr.sh -ys maxclientForHttpdInternalService=3 |
具体修复版本信息如下表
五、应对措施及解决方案二
针对以上问题，请及时升级，下载升级包：https://www.citrix.com/downloads/citrix-adc/firmware/release-13-0-build-83-27.html
Netscaler备份现有配置
| 命令行下运行： Save config Save ns config |
文件传输
| 通过WinSCP或SSHSecure File Transfer等SSH工具上NS13.058.32_nc至NetScaler下的/var/nsinstall |
文件解压
| 解压build 文件:tar -xzf build- 13.0 83.27_nc.taz 安装完毕，按提示重启 NetScaler； 查看现在版本show version |