CitrixBleed 3: Uvnitř kritické paměťové zranitelnosti CVE-2026-3055 v NetScaleru

Technické podrobnosti

Hlavní příčina

Nedostatečná validace vstupů vede k čtení mimo vymezenou paměť (CWE-125) . Zařízení nesprávně zpracovává specifické parametry v SAML a WS-Federation autentizačních požadavcích.

Vektory útoku

• Odeslání chybně formátovaného HTTP požadavku na /saml/login bez pole AssertionConsumerServiceURL
• Odeslání chybně formátovaného požadavku na /wsfed/passive?wctx s prázdnou hodnotou wctx

Tyto požadavky spustí nadměrné čtení paměti a zařízení vrátí obsah paměti v HTTP odpovědi .

Náročnost zneužití

Zneužití je označováno jako „triviálně jednoduché“ – stačí jediný neautentizovaný HTTP GET nebo POST požadavek . Není potřeba žádný speciální nástroj, autentizace ani interakce uživatele .

Uniknutá data

• Aktivní session tokeny: NSC_AAAC, NSC_TMAS, NSC_TASS cookies
• LDAP přihlašovací údaje (bind credentials)
• SAML podpisové klíče
• Další tajemství přítomná v paměti procesu

Uniklá data jsou v odpovědi zakódována pomocí base64 v poli NSC_TASS .

Časová osa zneužívání

Útočná infrastruktura

Sítě rezidenčních proxy

Útočníci používají tisíce IP adres z rezidenčních proxy sítí k průzkumu a zneužívání, což znemožňuje blokování podle zdrojové IP .

Známé IP adresy hrozeb

watchTowr uvedl konkrétní zdrojové IP adresy spojené se známými skupinami hrozeb, které začaly útočit 27. března .

Automatizované skenování

Platformy jako GreyNoise detekovaly masivní skenování zranitelných koncových bodů (/saml/login, /wsfed/passive) během několika dnů od zveřejnění .

Dopad

Hijacking session tokenů a obcházení MFA

Útočníci mohou ukrást aktivní session tokeny z paměti a použít je k autentizaci jako kterýkoli aktivní uživatel, čímž zcela obcházejí vícefaktorové ověřování .

Krádež přihlašovacích údajů

LDAP přihlašovací údaje a SAML podpisové klíče v paměti mohou být rovněž exfiltrovány, což umožňuje laterální pohyb a trvalý přístup .

Kompromitace identitní cesty

Vzhledem k tomu, že chyba uniká materiál z cesty poskytovatele identity, je po incidentu nutná rotace všech tajemství, která touto cestou prošla .

Rozsah

Všechny instance NetScaler ADC a NetScaler Gateway nakonfigurované jako Gateway nebo AAA virtuální server (role poskytovatele identity přístupného z internetu) jsou zranitelné .

Doporučení pro zmírnění rizik

1. Okamžitě aplikujte záplatu (do 24–48 hodin u zařízení přístupných z internetu)

Použijte opravené verze vydané 23. března 2026 podle bulletinu Citrix CTX696300:

• NetScaler ADC & Gateway 14.1-66.59 nebo novější
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 nebo novější
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Rotujte všechny session tokeny

Po aplikaci záplaty zneplatněte všechny stávající NSC_AAAC, NSC_TMAS a NSC_TASS cookies a vynuťte opětovnou autentizaci všech uživatelů .

3. Rotujte všechna tajemství v identitní cestě

LDAP přihlašovací údaje, SAML podpisové klíče, hesla servisních účtů a další tajemství, která byla v paměti zařízení během doby expozice .

4. Nasazení detekčních signatur

Sledujte:

• Anomální požadavky na koncové body /saml/login a /wsfed/passive
• Neobvykle velké HTTP odpovědi
• Neočekávané opětovné použití session tokenů

5. Segmentace sítě

Pokud je to možné, izolujte zařízení NetScaler od interní sítě a omezte odchozí konektivitu ze zařízení .

6. Zvažte dočasná řešení

Pokud se záplatování zpozdí, zakažte koncové body SAML a WS-Federation na bráně nebo omezte přístup k nim pomocí pravidel WAF/reverzního proxy. Pouze záplata je úplným řešením .