CitrixBleed 3 : Tout savoir sur la vulnérabilité CVE-2026-3055 qui frappe les NetScaler

Correction : Aucune vulnérabilité identifiée sous le nom CVE-2026-8451 n'existe dans aucun avis de sécurité actuel. La faille connue publiquement sous le nom de "CitrixBleed 3" est CVE-2026-3055 (avec sa compagne CVE-2026-4368). Cet article traite exclusivement de CVE-2026-3055.

Qu'est-ce que CVE-2026-3055 ?

CVE-2026-3055 est une vulnérabilité critique (CVSS 9.3) de dépassement de mémoire (memory overread) avant authentification dans les appliances Citrix NetScaler ADC et NetScaler Gateway . Elle permet à un attaquant distant non authentifié de divulguer des données sensibles de la mémoire de l'appareil, y compris des jetons de session actifs et des identifiants. Citrix a divulgué cette faille le 23 mars 2026 via l'avis CTX696300 . Il s'agit du troisième volet d'une série de vulnérabilités de type "Bleed", après CVE-2023-4966 ("CitrixBleed") et CVE-2025-5777 ("CitrixBleed 2") .

Détails techniques

Cause racine

Une validation d'entrée insuffisante conduit à une lecture mémoire hors limites (CWE-125) . L'appliance ne parvient pas à valider correctement des paramètres spécifiques dans les demandes d'authentification SAML et WS-Federation.

Vecteurs d'attaque

• Envoi d'une requête HTTP malformée vers /saml/login sans le champ AssertionConsumerServiceURL
• Envoi d'une requête malformée vers /wsfed/passive?wctx avec une valeur wctx vide

Ces requêtes malformées déclenchent une surlecture, et l'appliance renvoie le contenu de sa mémoire dans sa réponse HTTP .

Complexité de l'exploitation

L'exploitation est qualifiée de "trivialement simple" — une seule requête HTTP GET ou POST non authentifiée suffit . Aucun outil spécial, aucune authentification ni interaction utilisateur n'est nécessaire .

Données divulguées

• Jetons de session actifs : cookies NSC_AAAC, NSC_TMAS, NSC_TASS
• Identifiants de liaison LDAP
• Clés de signature SAML
• Autres secrets présents dans la mémoire du processus

Les données divulguées apparaissent encodées en base64 dans la réponse NSC_TASS .

Chronologie de l'exploitation

Date	Événement
23 mars 2026	Citrix publie l'avis CTX696300 et déploie des correctifs
27 mars 2026	watchTowr Labs confirme la reconnaissance et l'exploitation actives à partir d'adresses IP d'acteurs menaçants connus — seulement 4 jours après la divulgation
30 mars 2026	Plusieurs sociétés de sécurité confirment publiquement l'exploitation active dans la nature
~31 mars 2026	La CISA ajoute CVE-2026-3055 à son catalogue de vulnérabilités exploitées connues (KEV)
Avril–mai 2026	Un balayage massif est observé ; les preuves de concept et les codes d'exploitation circulent largement
Début juin 2026	Une campagne d'exploitation à grande échelle entre dans une nouvelle vague, ciblant massivement les appliances non corrigées

Infrastructure d'attaque

Réseaux de proxys résidentiels

Les attaquants ont utilisé des milliers d'adresses IP de proxys résidentiels pour mener leurs opérations de reconnaissance et d'exploitation, rendant le blocage par adresse IP source inefficace .

Adresses IP d'acteurs menaçants connus

watchTowr a signalé des adresses IP sources spécifiques liées à des groupes d'acteurs menaçants connus, qui ont commencé l'exploitation le 27 mars .

Balayage automatisé

GreyNoise et d'autres plateformes de renseignement sur les menaces ont détecté un balayage massif des points d'accès vulnérables (/saml/login, /wsfed/passive) dans les jours suivant la divulgation .

Impact

Détournement de session et contournement de l'authentification multifacteur

Les attaquants peuvent voler des jetons de session actifs dans la mémoire et les réutiliser pour s'authentifier en tant que n'importe quel utilisateur actif, contournant complètement l'authentification multifacteur .

Vol d'identifiants

Les identifiants de liaison LDAP et les clés de signature SAML, également présents en mémoire, peuvent être exfiltrés, permettant des mouvements latéraux et un accès persistant .

Compromission du chemin d'identité

Comme la faille divulgue des informations provenant du chemin du fournisseur d'identité, la rotation de tous les secrets "touchés" par ce chemin est nécessaire après l'incident .

Périmètre

Toutes les instances de NetScaler ADC et NetScaler Gateway configurées en tant que serveur virtuel Gateway ou AAA (rôle de fournisseur d'identité exposé à Internet) sont concernées .

Recommandations de correction

1. Corriger immédiatement (dans les 24 à 48 heures pour les appliances exposées à Internet)

Appliquez les versions corrigées publiées le 23 mars 2026, conformément à l'avis Citrix CTX696300 :

• NetScaler ADC & Gateway 14.1-66.59 ou version ultérieure
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 ou version ultérieure
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Effectuer la rotation de tous les jetons de session

Après la correction, invalidez tous les cookies NSC_AAAC, NSC_TMAS et NSC_TASS existants et forcez la ré-authentification de chaque utilisateur .

3. Effectuer la rotation de tous les secrets du chemin d'identité

Identifiants de liaison LDAP, clés de signature SAML, mots de passe des comptes de service et tout autre secret présent dans la mémoire de l'appliance pendant la fenêtre d'exposition .

4. Déployer des signatures de détection

Surveillez :

• Les requêtes anormales vers les points d'accès /saml/login et /wsfed/passive
• Les réponses HTTP anormalement volumineuses
• La réutilisation inattendue de jetons de session

5. Segmentation du réseau

Isolez les appliances NetScaler du réseau interne dans la mesure du possible et limitez la connectivité sortante de l'appliance .

6. Envisager des solutions de contournement temporaires

En cas de report de la correction, désactivez les points d'accès SAML et WS-Federation sur la Gateway ou restreignez l'accès à ceux-ci via des règles WAF/proxy inverse. La correction reste la seule solution complète .