CitrixBleed 3 : Tout savoir sur la vulnérabilité CVE-2026-3055 qui frappe les NetScaler
CVE 2026 3055 est une vulnérabilité critique (CVSS 9,3) de dépassement de mémoire (out of bounds read) dans les appliances Citrix NetScaler ADC et NetScaler Gateway, permettant à un attaquant non authentifié de dérobe... L'exploitation est « trivialement simple » : une unique requête HTTP GET ou POST non authentifié...
CVE 2026 3055 est une vulnérabilité critique (CVSS 9,3) de dépassement de mémoire (out of bounds read) dans les appliances Citrix NetScaler ADC et NetScaler Gateway, permettant à un attaquant non authentifié de dérobe...
L'exploitation est « trivialement simple » : une unique requête HTTP GET ou POST non authentifiée suffit.
La faille a été divulguée le 23 mars 2026. Les premières exploitations actives ont été confirmées dès le 27 mars 2026, soit seulement quatre jours après la divulgation.
L'infrastructure d'attaque utilise des milliers d'adresses IP de proxys résidentiels, rendant le blocage par adresse IP inefficace.
Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler applCVE-2026-3055 represents the third major memory disclosure vulnerability in the Citrix NetScaler Bleed series, carrying a CVSS score of 9.3 and enabling unauthenticated session token theft.
Prompt IA
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What is CVE-2026-8451, a newly disclosed memory-disclosure vulnerability in Citrix NetScaler appl. Article summary: **Correction:** The CVE you asked about — **CVE-2026-8451** — does not appear in any current security advisory or disclosure. The vulnerability being actively discussed under the "CitrixBleed 3" name is **CVE-2026-3055**. Topic tags: general, government, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, ch
openai.com
Correction : Aucune vulnérabilité identifiée sous le nom CVE-2026-8451 n'existe dans aucun avis de sécurité actuel. La faille connue publiquement sous le nom de "CitrixBleed 3" est CVE-2026-3055 (avec sa compagne CVE-2026-4368). Cet article traite exclusivement de CVE-2026-3055.
Qu'est-ce que CVE-2026-3055 ?
CVE-2026-3055 est une vulnérabilité critique (CVSS 9.3) de dépassement de mémoire (memory overread) avant authentification dans les appliances Citrix NetScaler ADC et NetScaler Gateway . Elle permet à un attaquant distant non authentifié de divulguer des données sensibles de la mémoire de l'appareil, y compris des jetons de session actifs et des identifiants. Citrix a divulgué cette faille le 23 mars 2026 via l'avis CTX696300 . Il s'agit du troisième volet d'une série de vulnérabilités de type "Bleed", après CVE-2023-4966 ("CitrixBleed") et CVE-2025-5777 ("CitrixBleed 2") .
Studio Global AI
Continuez vos recherches
Cette page comprend une réponse basée sur la source que vous pouvez continuer dans Studio Global.
Quelle est la réponse courte à « CitrixBleed 3 : Tout savoir sur la vulnérabilité CVE-2026-3055 qui frappe les NetScaler » ?
CVE 2026 3055 est une vulnérabilité critique (CVSS 9,3) de dépassement de mémoire (out of bounds read) dans les appliances Citrix NetScaler ADC et NetScaler Gateway, permettant à un attaquant non authentifié de dérobe...
Quels sont les points clés à valider en premier ?
CVE 2026 3055 est une vulnérabilité critique (CVSS 9,3) de dépassement de mémoire (out of bounds read) dans les appliances Citrix NetScaler ADC et NetScaler Gateway, permettant à un attaquant non authentifié de dérobe... L'exploitation est « trivialement simple » : une unique requête HTTP GET ou POST non authentifiée suffit.
Que dois-je faire ensuite en pratique ?
La faille a été divulguée le 23 mars 2026. Les premières exploitations actives ont été confirmées dès le 27 mars 2026, soit seulement quatre jours après la divulgation.
Une validation d'entrée insuffisante conduit à une lecture mémoire hors limites (CWE-125) . L'appliance ne parvient pas à valider correctement des paramètres spécifiques dans les demandes d'authentification SAML et WS-Federation.
Vecteurs d'attaque
Envoi d'une requête HTTP malformée vers /saml/login sans le champ AssertionConsumerServiceURL
Envoi d'une requête malformée vers /wsfed/passive?wctx avec une valeur wctx vide
Ces requêtes malformées déclenchent une surlecture, et l'appliance renvoie le contenu de sa mémoire dans sa réponse HTTP .
Complexité de l'exploitation
L'exploitation est qualifiée de "trivialement simple" — une seule requête HTTP GET ou POST non authentifiée suffit . Aucun outil spécial, aucune authentification ni interaction utilisateur n'est nécessaire .
Données divulguées
Jetons de session actifs : cookies NSC_AAAC, NSC_TMAS, NSC_TASS
Identifiants de liaison LDAP
Clés de signature SAML
Autres secrets présents dans la mémoire du processus
Les données divulguées apparaissent encodées en base64 dans la réponse NSC_TASS.
Chronologie de l'exploitation
Date
Événement
23 mars 2026
Citrix publie l'avis CTX696300 et déploie des correctifs
27 mars 2026
watchTowr Labs confirme la reconnaissance et l'exploitation actives à partir d'adresses IP d'acteurs menaçants connus — seulement 4 jours après la divulgation
30 mars 2026
Plusieurs sociétés de sécurité confirment publiquement l'exploitation active dans la nature
~31 mars 2026
La CISA ajoute CVE-2026-3055 à son catalogue de vulnérabilités exploitées connues (KEV)
Avril–mai 2026
Un balayage massif est observé ; les preuves de concept et les codes d'exploitation circulent largement
Début juin 2026
Une campagne d'exploitation à grande échelle entre dans une nouvelle vague, ciblant massivement les appliances non corrigées
Infrastructure d'attaque
Réseaux de proxys résidentiels
Les attaquants ont utilisé des milliers d'adresses IP de proxys résidentiels pour mener leurs opérations de reconnaissance et d'exploitation, rendant le blocage par adresse IP source inefficace .
Adresses IP d'acteurs menaçants connus
watchTowr a signalé des adresses IP sources spécifiques liées à des groupes d'acteurs menaçants connus, qui ont commencé l'exploitation le 27 mars .
Balayage automatisé
GreyNoise et d'autres plateformes de renseignement sur les menaces ont détecté un balayage massif des points d'accès vulnérables (/saml/login, /wsfed/passive) dans les jours suivant la divulgation .
Impact
Détournement de session et contournement de l'authentification multifacteur
Les attaquants peuvent voler des jetons de session actifs dans la mémoire et les réutiliser pour s'authentifier en tant que n'importe quel utilisateur actif, contournant complètement l'authentification multifacteur .
Vol d'identifiants
Les identifiants de liaison LDAP et les clés de signature SAML, également présents en mémoire, peuvent être exfiltrés, permettant des mouvements latéraux et un accès persistant .
Compromission du chemin d'identité
Comme la faille divulgue des informations provenant du chemin du fournisseur d'identité, la rotation de tous les secrets "touchés" par ce chemin est nécessaire après l'incident .
Périmètre
Toutes les instances de NetScaler ADC et NetScaler Gateway configurées en tant que serveur virtuel Gateway ou AAA (rôle de fournisseur d'identité exposé à Internet) sont concernées .
Recommandations de correction
1. Corriger immédiatement (dans les 24 à 48 heures pour les appliances exposées à Internet)
Appliquez les versions corrigées publiées le 23 mars 2026, conformément à l'avis Citrix CTX696300 :
NetScaler ADC & Gateway 14.1-66.59 ou version ultérieure
NetScaler ADC & Gateway 14.1-60.58
NetScaler ADC & Gateway 13.1-62.23 ou version ultérieure
NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262
2. Effectuer la rotation de tous les jetons de session
Après la correction, invalidez tous les cookies NSC_AAAC, NSC_TMAS et NSC_TASS existants et forcez la ré-authentification de chaque utilisateur .
3. Effectuer la rotation de tous les secrets du chemin d'identité
Identifiants de liaison LDAP, clés de signature SAML, mots de passe des comptes de service et tout autre secret présent dans la mémoire de l'appliance pendant la fenêtre d'exposition .
4. Déployer des signatures de détection
Surveillez :
Les requêtes anormales vers les points d'accès /saml/login et /wsfed/passive
Les réponses HTTP anormalement volumineuses
La réutilisation inattendue de jetons de session
5. Segmentation du réseau
Isolez les appliances NetScaler du réseau interne dans la mesure du possible et limitez la connectivité sortante de l'appliance .
6. Envisager des solutions de contournement temporaires
En cas de report de la correction, désactivez les points d'accès SAML et WS-Federation sur la Gateway ou restreignez l'accès à ceux-ci via des règles WAF/proxy inverse. La correction reste la seule solution complète .
