CitrixBleed 3 ist da: Warum die NetScaler-Lücke CVE-2026-3055 jetzt sofort gepatcht werden muss

Technische Details

Ursache

Eine unzureichende Eingabevalidierung führt zu einem speicherübergreifenden Lesezugriff (CWE-125) . Die Appliance prüft bestimmte Parameter in SAML- und WS-Federation-Authentifizierungsanfragen nicht ausreichend.

Angriffsvektoren

• Senden einer fehlerhaften HTTP-Anfrage an /saml/login ohne das Feld AssertionConsumerServiceURL
• Senden einer fehlerhaften Anfrage an /wsfed/passive?wctx mit einem leeren wctx-Wert

Diese fehlerhaften Anfragen lösen einen Overread aus, woraufhin die Appliance Speicherinhalte in der HTTP-Antwort zurückgibt .

Ausnutzungskomplexität

Die Ausnutzung wird als „trivial einfach“ beschrieben – ein einziger nicht authentifizierter HTTP-GET- oder POST-Request reicht aus . Es sind keine speziellen Tools, Authentifizierung oder Benutzerinteraktion erforderlich .

Preisgegebene Daten

• Aktive Sitzungstokens: NSC_AAAC-, NSC_TMAS- und NSC_TASS-Cookies
• LDAP-Bind-Anmeldeinformationen
• SAML-Signierschlüssel
• Andere Geheimnisse, die sich im Prozessspeicher befinden

Die gestohlenen Daten erscheinen base64-kodiert in der NSC_TASS-Antwort .

Exploitations-Zeitplan

Angriffsinfrastruktur

Residential-Proxy-Netzwerke

Angreifer nutzten tausende Residential-Proxy-IPs für Aufklärung und Ausnutzung, was die Blockierung von Quell-IPs ineffektiv macht .

Bekannte Threat-Actor-IPs

watchTowr berichtete von spezifischen Quell-IPs, die bekannten Bedrohungsakteuren zugeordnet werden und ab dem 27. März mit der Ausnutzung begannen .

Automatisiertes Scannen

GreyNoise und andere Threat-Intelligence-Plattformen detektierten Massen-Scans nach verwundbaren Endpunkten (/saml/login, /wsfed/passive) innerhalb weniger Tage nach der Offenlegung .

Auswirkungen

Session-Hijacking und MFA-Umgehung

Angreifer können aktive Sitzungstokens aus dem Speicher stehlen und wiederverwenden, um sich als jeder aktive Benutzer zu authentifizieren und dabei die Multi-Faktor-Authentifizierung vollständig zu umgehen .

Diebstahl von Anmeldeinformationen

LDAP-Bind-Anmeldedaten und SAML-Signierschlüssel im Speicher können ebenfalls abgegriffen werden, was laterale Bewegungen und persistenten Zugriff ermöglicht .

Kompromittierung des Identitätspfades

Da die Schwachstelle Material aus dem Identity-Provider-Pfad preisgibt, ist nach einem Vorfall die Rotation aller Geheimnisse erforderlich, die von diesem Pfad „berührt“ wurden .

Betroffene Systeme

Alle NetScaler-ADC- und NetScaler-Gateway-Instanzen, die als Gateway oder AAA-Virtual-Server (Internet-zugewandte Identity-Provider-Rolle) konfiguriert sind, sind betroffen .

Empfehlungen zur Schadensbegrenzung

1. Sofort patchen (24–48 Stunden für Internet-zugewandte Appliances)

Wenden Sie die am 23. März 2026 veröffentlichten Fix-Versionen gemäß Citrix Advisory CTX696300 an:

• NetScaler ADC & Gateway 14.1-66.59 oder höher
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 oder höher
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Alle Sitzungstokens rotieren

Nach dem Patchen alle bestehenden NSC_AAAC-, NSC_TMAS- und NSC_TASS-Cookies ungültig machen und eine erneute Authentifizierung aller Benutzer erzwingen .

3. Alle Geheimnisse im Identitätspfad rotieren

LDAP-Bind-Anmeldedaten, SAML-Signierschlüssel, Dienstkonto-Passwörter und alle anderen Geheimnisse, die während des Offenlegungszeitraums im Appliancespeicher vorhanden waren .

4. Erkennungssignaturen implementieren

Überwachen Sie auf:

• Auffällige Anfragen an die Endpunkte /saml/login und /wsfed/passive
• Ungewöhnlich große HTTP-Antworten
• Unerwartete Wiederverwendung von Sitzungstokens

5. Netzwerksegmentierung

Isolieren Sie NetScaler-Appliances wenn möglich vom internen Netzwerk und beschränken Sie die ausgehende Konnektivität der Appliance .

6. Temporäre Workarounds in Betracht ziehen

Falls das Patchen verzögert wird, deaktivieren Sie die SAML- und WS-Federation-Endpunkte auf dem Gateway oder schränken Sie den Zugriff darauf über WAF/Reverse-Proxy-Regeln ein. Patchen ist die einzig vollständige Lösung .