CVE-2021-22956の脆弱性を特定して修復する

最終公開日 : Sep 25, 2026
NetScaler Consoleのセキュリティアドバイザリダッシュボードで、Current CVEs > <number of> (共通脆弱性識別子 (CVE) の影響を受けるNetScalerインスタンス) の下で、この特定のCVEによって脆弱なすべてのインスタンスを確認できます。CVE-2021-22956の影響を受けるインスタンスの詳細を確認するには、CVE-2021-22956を選択し、View Affected Instancesをクリックします。
CVE-2021-22927およびCVE-2021-22920のセキュリティアドバイザリダッシュボード(/en-us/netscaler-console-service/media/security-advisory-cve-2021-22956.png)
<number of> (CVEの影響を受けるNetScalerインスタンス) ウィンドウが表示されます。ここには、CVE-2021-22956の影響を受けるNetScalerインスタンスの数と詳細が表示されます。
CVE-2020-8300の影響を受けるインスタンス(/en-us/netscaler-console-service/media/cve-2021-22956-impacted-instance.png)
セキュリティアドバイザリダッシュボードの詳細については、セキュリティアドバイザリを参照してください。
注:
セキュリティアドバイザリシステムスキャンが完了し、セキュリティアドバイザリモジュールにCVE-2021-22956の影響が反映されるまでに時間がかかる場合があります。影響をより早く確認するには、Scan-Nowをクリックしてオンデマンドスキャンを開始します。

CVE-2021-22956の影響を受けるインスタンスを特定する

CVE-2021-22956にはカスタムスキャンが必要です。このスキャンでは、NetScaler Consoleが管理対象のNetScalerインスタンスに接続し、スクリプトをインスタンスにプッシュします。スクリプトはNetScalerインスタンスで実行され、Apache構成ファイル (httpd.conf file) と最大クライアント接続数 (maxclient) のパラメータをチェックして、インスタンスが脆弱であるかどうかを判断します。スクリプトがNetScaler Consoleと共有する情報は、ブール値 (trueまたはfalse) の脆弱性ステータスです。スクリプトはまた、NetScaler Consoleに、ローカルホスト、NSIP、管理アクセスを持つSNIPなど、異なるネットワークインターフェースのmax_clientsのカウントリストを返します。このリストの詳細レポートは、Security AdvisoryページのScan LogsタブからダウンロードできるCSVファイルで確認できます。
このスクリプトは、スケジュールされたオンデマンドスキャンが実行されるたびに実行されます。スキャンが完了すると、スクリプトはNetScalerインスタンスから削除されます。

CVE-2021-22956を修復する

CVE-2021-22956の影響を受けるNetScalerインスタンスの場合、修復は2段階のプロセスです。GUIのCurrent CVEs > NetScaler instances are impacted by CVEsの下で、ステップ1と2を確認できます。
CVE-2021-22927およびCVE-2021-22920の修復手順(/en-us/netscaler-console-service/media/remediate-steps-cve-2021-22956.png)
2つのステップは次のとおりです。
  1. 脆弱なNetScalerインスタンスを、修正を含むリリースとビルドにアップグレードする。
  2. 構成ジョブで、カスタマイズ可能な組み込み構成テンプレートを使用して、必要な構成コマンドを適用する。
「Current CVEs > NetScaler instances impacted by CVEs」の下に、この2段階の修復プロセスに対応する2つの別々のワークフローが表示されます。これらは「Proceed to upgrade workflow」と「Proceed to configuration job workflow」です。
修復ワークフロー

ステップ1：脆弱なNetScalerインスタンスをアップグレードする

脆弱なインスタンスをアップグレードするには、インスタンスを選択し、Proceed to upgrade workflowをクリックします。アップグレードワークフローが開き、脆弱なNetScalerインスタンスがすでに設定されています。
NetScaler Consoleを使用してNetScalerインスタンスをアップグレードする方法の詳細については、「NetScalerアップグレードジョブの作成」を参照してください。
注：
この手順は、すべての脆弱なNetScalerインスタンスに対して一度に実行できます。

ステップ2：構成コマンドを適用する

影響を受けるインスタンスをアップグレードした後、<number of> NetScaler instances impacted by CVEsウィンドウで、CVE-2021-22956の影響を受けるインスタンスを選択し、Proceed to configuration job workflowをクリックします。ワークフローには次の手順が含まれます。
  1. 構成をカスタマイズする。
  2. 自動入力された影響を受けるインスタンスを確認する。
  3. ジョブの変数に対する入力を指定する。
  4. 変数入力が設定された最終構成を確認する。
  5. ジョブの実行。
インスタンスを選択し、設定ジョブワークフローに進むをクリックする前に、以下の点に留意してください。
  • 複数のCVE（CVE-2020-8300、CVE-2021-22927、CVE-2021-22920、CVE-2021-22956など）の影響を受けるNetScalerインスタンスの場合：インスタンスを選択して設定ジョブワークフローに進むをクリックすると、「設定の選択」の下に組み込みの設定テンプレートが自動入力されません。適切な設定ジョブテンプレートをセキュリティアドバイザリテンプレートの下から右側の設定ジョブペインに手動でドラッグアンドドロップしてください。
  • CVE-2021-22956のみの影響を受ける複数のNetScalerインスタンスの場合：すべてのインスタンスで設定ジョブを一度に実行できます。たとえば、NetScaler 1、NetScaler 2、NetScaler 3があり、これらすべてがCVE-2021-22956のみの影響を受けているとします。これらすべてのインスタンスを選択して設定ジョブワークフローに進むをクリックすると、組み込みの設定テンプレートが設定の選択の下に自動入力されます。
  • CVE-2021-22956および1つ以上の他のCVE（CVE-2020-8300、CVE-2021-22927、CVE-2021-22920など）の影響を受ける複数のNetScalerインスタンスで、各NetScalerに一度に1つずつ修正を適用する必要がある場合：これらのインスタンスを選択して設定ジョブワークフローに進むをクリックすると、各NetScalerで設定ジョブを一度に1つずつ実行するように指示するエラーメッセージが表示されます。

ステップ1：設定の選択

設定ジョブワークフローでは、組み込みの設定ベーステンプレートが設定の選択の下に自動入力されます。
設定の選択(/en-us/netscaler-console-service/media/select-config-step-cve-2021-22956.png)

ステップ2：インスタンスの選択

影響を受けるインスタンスはインスタンスの選択の下に自動入力されます。インスタンスを選択します。このインスタンスがHAペアの一部である場合は、セカンダリノードで実行を選択します。次へをクリックします。
インスタンスの選択(/en-us/netscaler-console-service/media/select-instance-cve-2021-22956.png)
注：
セキュリティアドバイザリを使用するクラスターモードのNetScalerインスタンスの場合、NetScaler Consoleは、クラスター構成コーディネーター（CCO）ノードでのみ設定ジョブの実行をサポートします。CCO以外のノードでは、コマンドを個別に実行してください。

ステップ3：変数値を指定

変数値を入力します。
変数を指定
インスタンスの変数を指定するには、次のいずれかのオプションを選択します。
すべてのインスタンスの共通変数: 変数 max_client に共通の値を入力します。
変数値を入力ファイルでアップロード: 入力キーファイルのダウンロードをクリックして、入力ファイルをダウンロードします。入力ファイルで、変数 max_client の値を入力し、ファイルをNetScaler Consoleサーバーにアップロードします。
注:
上記のどちらのオプションでも、推奨される max_client の値は30です。現在の値に応じて値を設定できます。ただし、ゼロであってはならず、/etc/httpd.conf ファイルで設定されているmax_client以下である必要があります。NetScalerインスタンスで文字列 MaxClients を検索することで、Apache HTTP Server設定ファイル /etc/httpd.conf に設定されている現在の値を確認できます。

ステップ4：構成をプレビューする

構成に挿入された変数値をプレビューし、次へをクリックします。
ジョブをプレビュー

ステップ5：ジョブを実行する

完了をクリックして、構成ジョブを実行します。
構成ジョブを実行
ジョブが実行されると、インフラストラクチャ > 構成 > 構成ジョブの下に表示されます。
すべての脆弱なNetScalerインスタンスに対して2つの修復手順を完了した後、オンデマンドスキャンを実行して、改訂されたセキュリティ体制を確認できます。