CitrixBleed 3: Ny kritisk sårbarhed i NetScaler udnyttes allerede

Hvad er CVE-2026-3055?

CVE-2026-3055 er en kritisk (CVSS 9.3) hukommelsesoverlæsningssårbarhed før godkendelse i Citrix NetScaler ADC og NetScaler Gateway . Den gør det muligt for en uautoriseret fjernangriber at lække følsomme data fra apparatets hukommelse, herunder aktive sessions-tokens og legitimationsoplysninger. Citrix offentliggjorde sårbarheden den 23. marts 2026 via advisories CTX696300 . Det er den tredje i en række af relaterede "Bleed"-sårbarheder efter CVE-2023-4966 ("CitrixBleed") og CVE-2025-5777 ("CitrixBleed 2") .

Tekniske detaljer

Grundårsag

Utilstrækkelig inputvalidering fører til en uden for grænserne-hukommelseslæsning (CWE-125) . Apparatet validerer ikke korrekt specifikke parametre i SAML- og WS-Federation-godkendelsesanmodninger.

Angrebsvektorer

• Send en misdannet HTTP-anmodning til /saml/login uden feltet AssertionConsumerServiceURL
• Send en misdannet anmodning til /wsfed/passive?wctx med en tom wctx-værdi

Disse misdannede anmodninger udløser en overlæsning, og apparatet returnerer hukommelsesindhold i sit HTTP-svar .

Udnyttelsens kompleksitet

Udnyttelsen beskrives som "trivielt enkel" – en enkelt uautoriseret HTTP GET- eller POST-anmodning er tilstrækkelig . Der kræves ingen særlige værktøjer, godkendelse eller brugerinteraktion .

Data der lækkes

• Aktive sessions-tokens: NSC_AAAC, NSC_TMAS, NSC_TASS-cookies
• LDAP-bindingslegitimationsoplysninger
• SAML-signeringsnøgler
• Andre hemmeligheder i proceshukommelsen

Lækkede data vises base64-kodet i NSC_TASS-svaret .

Udnyttelsestidslinje

Dato	Hændelse
2026-03-23	Citrix offentliggør advisory CTX696300 og udgiver rettelser
2026-03-27	watchTowr Labs bekræfter aktiv rekognoscering og udnyttelse fra kendte trusselsaktører – kun 4 dage efter offentliggørelsen
2026-03-30	Flere sikkerhedsfirmaer bekræfter offentligt aktiv udnyttelse i naturen
~2026-03-31	CISA tilføjer CVE-2026-3055 til sin KEV-katalog
2026-04–maj	Massescanningsaktivitet observeres; proof-of-concept- og udnyttelseskode cirkulerer bredt
Tidlig juni 2026	Storskalakampagne med udnyttelse går ind i en ny bølge og målretter upatchede apparater i stor stil

Angrebsinfrastruktur

Bolig-proxy-netværk

Angribere brugte tusindvis af bolig-proxy-IP'er til at udføre rekognoscering og udnyttelse, hvilket gør blokering baseret på kilde-IP ineffektiv .

Kendte trusselsaktørers IP'er

watchTowr rapporterede specifikke kilde-IP'er knyttet til kendte trusselsaktørgrupper, der begyndte udnyttelse den 27. marts .

Automatiseret scanning

GreyNoise og andre trusselsintelligensplatforme opdagede massescanning efter sårbare slutpunkter (/saml/login, /wsfed/passive) inden for dage efter offentliggørelsen .

Konsekvenser

Sessionskapring og MFA-omgåelse

Angribere kan stjæle aktive sessions-tokens fra hukommelsen og genbruge dem til at godkende som enhver aktiv bruger, hvilket fuldstændigt omgår multifaktorgodkendelse .

Tyveri af legitimationsoplysninger

LDAP-bindingslegitimationsoplysninger og SAML-signeringsnøgler i hukommelsen kan også eksfiltreres, hvilket muliggør lateral bevægelse og vedvarende adgang .

Kompromittering af identitetssti

Fordi fejlen lækker materiale fra identitetsudbyderstien, er rotation af alle hemmeligheder "berørt" af denne sti nødvendig efter en hændelse .

Omfang

Alle NetScaler ADC- og NetScaler Gateway-instanser konfigureret som en Gateway- eller AAA-virtuel server (internetvendt identitetsudbyderrolle) er påvirket .

Afhjælpningsanbefalinger

1. Opdater straks (inden for 24-48 timer for internetvendte apparater)

Anvend de rettede versioner, der blev udgivet den 23. marts 2026, i henhold til Citrix-advisory CTX696300:

• NetScaler ADC & Gateway 14.1-66.59 eller nyere
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 eller nyere
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Roter alle sessions-tokens

Empatchningen skal alle eksisterende NSC_AAAC-, NSC_TMAS- og NSC_TASS-cookies ugyldiggøres, og alle brugere skal tvinges til at godkende igen .

3. Roter alle hemmeligheder i identitetsstien

LDAP-bindingslegitimationsoplysninger, SAML-signeringsnøgler, servicekonto-adgangskoder og alle andre hemmeligheder, der var til stede i apparatets hukommelse i eksponeringsvinduet .

4. Implementer detektionssignaturer

Overvåg efter:

• Anormale anmodninger til /saml/login og /wsfed/passive-slutpunkter
• Usædvanligt store HTTP-svar
• Uventet genbrug af sessions-tokens

5. Netværkssegmentering

Isolér NetScaler-apparater fra det interne netværk, hvor det er muligt, og begræns udgående forbindelser fra apparatet .

6. Overvej midlertidige workarounds

Hvis opdateringen bliver forsinket, skal SAML- og WS-Federation-slutpunkter på Gatewayen deaktiveres eller adgangen til dem begrænses via WAF/reverse-proxy-regler. Opdatering er den eneste komplette løsning .