CitrixBleed 3 (CVE-2026-3055): La nueva vulnerabilidad crítica en NetScaler que permite el robo de sesiones sin autenticación

Detalles técnicos

Causa raíz

La validación insuficiente de las entradas provoca una lectura de memoria fuera de los límites (CWE-125) . El dispositivo no logra validar correctamente parámetros específicos en las solicitudes de autenticación SAML y WS-Federation.

Vectores de ataque

• Enviar una petición HTTP malformada a /saml/login sin el campo AssertionConsumerServiceURL
• Enviar una petición malformada a /wsfed/passive?wctx con un valor wctx vacío

Estas peticiones malformadas desencadenan una sobrelectura, y el dispositivo devuelve el contenido de la memoria en su respuesta HTTP .

Complejidad de la explotación

La explotación se describe como "trivialmente simple": basta con una única petición HTTP GET o POST sin autenticación . No se requieren herramientas especiales, autenticación ni interacción del usuario .

Datos filtrados

• Tokens de sesión activos: cookies NSC_AAAC, NSC_TMAS, NSC_TASS
• Credenciales de enlace LDAP
• Claves de firma SAML
• Otros secretos presentes en la memoria del proceso

Los datos filtrados aparecen codificados en base64 dentro de la respuesta NSC_TASS .

Cronología de la explotación

Infraestructura del ataque

Redes de proxies residenciales

Los atacantes utilizaron miles de direcciones IP de proxies residenciales para realizar el reconocimiento y la explotación, lo que hace ineficaz el bloqueo por IP de origen .

Direcciones IP de actores de amenazas conocidos

watchTowr informó de direcciones IP específicas vinculadas a grupos de actores de amenazas conocidos que comenzaron la explotación el 27 de marzo .

Escaneo automatizado

GreyNoise y otras plataformas de inteligencia de amenazas detectaron escaneos masivos de los endpoints vulnerables (/saml/login, /wsfed/passive) en los días siguientes a la divulgación .

Impacto

Secuestro de sesión y omisión de MFA

Los atacantes pueden robar tokens de sesión activos de la memoria y reutilizarlos para autenticarse como cualquier usuario activo, eludiendo por completo la autenticación multifactor .

Robo de credenciales

Las credenciales de enlace LDAP y las claves de firma SAML en la memoria también pueden ser exfiltradas, lo que permite el movimiento lateral y el acceso persistente .

Compromiso de la ruta de identidad

Dado que la falla filtra material de la ruta del proveedor de identidad, después de un incidente es necesaria la rotación de todos los secretos "tocados" por esa ruta .

Alcance

Todas las instancias de NetScaler ADC y NetScaler Gateway configuradas como Gateway o servidor virtual AAA (rol de proveedor de identidad expuesto a Internet) se ven afectadas .

Recomendaciones de mitigación

1. Parchear inmediatamente (24–48 horas para dispositivos expuestos a Internet)

Aplicar las versiones corregidas publicadas el 23 de marzo de 2026, según el aviso CTX696300 de Citrix:

• NetScaler ADC y Gateway 14.1-66.59 o posterior
• NetScaler ADC y Gateway 14.1-60.58
• NetScaler ADC y Gateway 13.1-62.23 o posterior
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Rotar todos los tokens de sesión

Después de parchear, invalidar todas las cookies NSC_AAAC, NSC_TMAS y NSC_TASS existentes y forzar la reautenticación de todos los usuarios .

3. Rotar todos los secretos en la ruta de identidad

Credenciales de enlace LDAP, claves de firma SAML, contraseñas de cuentas de servicio y cualquier otro secreto que estuviera presente en la memoria del dispositivo durante la ventana de exposición .

4. Implementar firmas de detección

Monitorear:

• Peticiones anómalas a los endpoints /saml/login y /wsfed/passive
• Respuestas HTTP inusualmente grandes
• Reutilización inesperada de tokens de sesión

5. Segmentación de red

Aislar los dispositivos NetScaler de la red interna siempre que sea posible y limitar la conectividad saliente desde el dispositivo .

6. Considerar soluciones temporales

Si el parcheado se retrasa, deshabilitar los endpoints SAML y WS-Federation en el Gateway o restringir el acceso a ellos mediante reglas WAF/proxy inverso. El parcheado es la única solución completa .