【ITニュース解説】Request smuggling in NetScaler: why the backend's parsing rules decide the impact

近年、インターネットを安全に利用するために、多くの企業は「プロキシ」や「ADC（Application Delivery Controller）」と呼ばれる機器を導入している。これらはユーザーからのアクセスを一度受け止め、適切なサーバー（バックエンドサーバー）に振り分ける役割を担う。今回、Citrix社のNetScaler ADCおよびGateway製品において、「リクエストスマグリング」と呼ばれる重大な脆弱性（CVE-2026-88773）が発見された。この脆弱性は、NetScaler単独の問題ではなく、NetScalerとその後ろにつながるバックエンドサーバーとの間のコミュニケーションの仕方に起因する点が特徴だ。

HTTP通信では、メッセージの本体（ボディ）の長さを伝える方法が複数ある。例えば、「Content-Length」ヘッダーで長さを明示する方法と、「チャンクエンコーディング」という方法でボディを塊に分割して送信する方法だ。また、HTTPヘッダーの重複や改行（obs-fold）、ヘッダー名と値の間のスペース（ホワイトスペース）の扱い方など、細かい部分での解釈の差も存在する。このようなHTTPプロトコルが持つ「曖昧さ」は、異なるベンダーが作った機器やソフトウェアが、同じHTTPメッセージを異なる方法で解釈する原因となる。

問題は、NetScalerがHTTPメッセージを解析し、それを変更せずにバックエンドサーバーに転送する際に、この「食い違い」が発生する場合だ。NetScalerがメッセージをある一つの方法で解釈する一方で、バックエンドサーバーが別の方法で解釈すると、一つのHTTP通信ストリームの中に、バックエンドサーバーだけが「別のリクエストの一部」と誤認識するデータが混入してしまう可能性がある。これは、NetScalerは一つの完全なリクエストと見なすが、バックエンドサーバーはそれを「通常のリクエスト」と「次のリクエストの冒頭部分」に分割して認識してしまう状況だ。この「次のリクエストの冒頭部分」が攻撃者が仕込んだ不正なデータである場合、それが次に同じ接続でやってくる正規のユーザーのリクエストと合体し、バックエンドサーバーは攻撃者の意図したリクエストとして処理してしまう。

このような形で不正なリクエストが「密輸」されると、攻撃者は様々な悪意のある操作が可能になる。例えば、別のユーザー向けのレスポンスを不正に取得したり、ウェブサイトのキャッシュに誤った内容を登録させたり（キャッシュ汚染）、本来アクセスが制限されているリソースに対してアクセス制御を迂回したりすることが考えられる。これらの攻撃はHTTP通信の根幹部分を操作するため、アプリケーションレベルの認証を迂回して、ログインしていなくても実行できてしまう可能性がある。

この脆弱性が悪用されるには、NetScalerインスタンスでHTTP機能が有効になっている必要がある。認証や特定のユーザー操作は不要だが、HTTP以外のレイヤー7プロトコルのみを処理している環境では影響を受けない。また、インターネット上に公開されているNetScalerの数を検出するツール（ZoomEyeなど）で多くの台数が確認されても、それだけで実際の被害範囲を判断することはできない。なぜなら、そのNetScalerの背後にあるバックエンドサーバーが、HTTPメッセージの解析においてNetScalerと異なる解釈をしているかどうかが、脆弱性の悪用可能性や影響範囲を決定するからだ。つまり、個々のシステム構成を詳細に確認する必要がある。

この脆弱性に対する最も直接的な対策は、Citrix社が提供するセキュリティアップデート（CTX697096）をNetScalerに適用することだ。バージョン14.1、13.1など、該当するビルドに迅速にパッチを適用することが求められる。パッチ適用前には、現在のシステムログやメモリダンプを保存しておくことが強く推奨される。これは、同じアップデートに含まれる他の関連脆弱性（CVE-2026-88771、CVE-2026-88772）がすでに積極的に悪用されている事例があるため、万が一のインシデント発生時の調査に備えるためだ。また、今回の脆弱性の本質が「フロントエンドとバックエンドの解析ルールの食い違い」にあることから、NetScalerのアップグレード後に、バックエンドサーバーとの間のHTTPメッセージの正規化（解釈の一貫性）が維持されているかを確認することも重要だ。さらに、アップグレード前のシステムログに、リクエストスマグリングを示唆するような異常なアクセスパターンやエラーが記録されていなかったかを確認することで、過去の被害を検証する手掛かりとなる。