CitrixBleed 3: Analisis Teknis dan Panduan Mitigasi CVE-2026-3055

Koreksi penting: Tidak ada kerentanan dengan nomor CVE-2026-8451 dalam advisory keamanan mana pun. Celah yang sedang hangat dibahas dengan julukan "CitrixBleed 3" adalah CVE-2026-3055 (bersama pendampingnya CVE-2026-4368). Artikel ini membahas CVE-2026-3055 secara eksklusif.

Apa Itu CVE-2026-3055?

CVE-2026-3055 adalah kerentanan memory overread kritis (CVSS 9.3) yang memungkinkan penyerang jarak jauh tanpa autentikasi untuk membocorkan data sensitif dari memori perangkat Citrix NetScaler ADC dan NetScaler Gateway . Celah ini diumumkan oleh Citrix pada 23 Maret 2026 melalui advisory CTX696300 . Ini adalah yang ketiga dalam rangkaian kerentanan "Bleed" setelah CVE-2023-4966 (CitrixBleed) dan CVE-2025-5777 (CitrixBleed 2) .

Detail Teknis

Akar Masalah

Validasi input yang tidak memadai menyebabkan pembacaan memori di luar batas (CWE-125) . Perangkat gagal memvalidasi parameter tertentu dalam permintaan autentikasi SAML dan WS-Federation dengan benar.

Vektor Serangan

• Mengirim permintaan HTTP yang salah format ke /saml/login tanpa field AssertionConsumerServiceURL
• Mengirim permintaan salah format ke /wsfed/passive?wctx dengan nilai wctx kosong

Permintaan yang salah ini memicu overread, dan perangkat mengembalikan isi memorinya dalam respons HTTP .

Tingkat Kesulitan Eksploitasi

Eksploitasi digambarkan sangat mudah — cukup satu permintaan HTTP GET atau POST tanpa autentikasi . Tidak diperlukan alat khusus, autentikasi, atau interaksi pengguna .

Data yang Bocor

• Token sesi aktif: cookie NSC_AAAC, NSC_TMAS, NSC_TASS
• Kredensial bind LDAP
• Kunci signing SAML
• Rahasia lain yang ada di memori proses

Data yang bocor muncul dalam format base64 di dalam respons NSC_TASS .

Kronologi Eksploitasi

Tanggal	Peristiwa
2026-03-23	Citrix menerbitkan advisory CTX696300 dan merilis patch
2026-03-27	watchTowr Labs mengonfirmasi rekonsiliasi dan eksploitasi aktif dari IP aktor ancaman yang dikenal — hanya 4 hari setelah pengumuman
2026-03-30	Banyak firma keamanan mengonfirmasi eksploitasi aktif di alam liar
~2026-03-31	CISA menambahkan CVE-2026-3055 ke katalog Known Exploited Vulnerabilities (KEV)
2026-04–Mei	Pemindaian massal terdeteksi; kode proof-of-concept dan exploit beredar luas
Awal Juni 2026	Gelombang eksploitasi skala besar baru menargetkan perangkat yang belum di-patch

Infrastruktur Serangan

Jaringan Proxy Residensial

Penyerang menggunakan ribuan IP proxy residensial untuk melakukan rekonsiliasi dan eksploitasi, membuat pemblokiran berdasarkan IP sumber menjadi tidak efektif .

IP Aktor Ancaman yang Diketahui

watchTowr melaporkan IP sumber spesifik yang terkait dengan grup aktor ancaman yang memulai eksploitasi pada 27 Maret .

Pemindaian Otomatis

GreyNoise dan platform intelijen ancaman lainnya mendeteksi pemindaian massal untuk endpoint yang rentan (/saml/login, /wsfed/passive) dalam beberapa hari setelah pengumuman .

Dampak

Pembajakan Sesi dan Bypass MFA

Penyerang dapat mencuri token sesi aktif dari memori dan menggunakannya kembali untuk mengautentikasi sebagai pengguna aktif mana pun, sepenuhnya melewati autentikasi multi-faktor .

Pencurian Kredensial

Kredensial bind LDAP dan kunci signing SAML di memori juga dapat dieksfiltrasi, memungkinkan pergerakan lateral dan akses persisten .

Kompromi Jalur Identitas

Karena celah ini membocorkan materi dari jalur penyedia identitas, rotasi semua rahasia yang "tersentuh" oleh jalur itu diperlukan pasca-insiden .

Cakupan

Semua instance NetScaler ADC dan NetScaler Gateway yang dikonfigurasi sebagai server virtual Gateway atau AAA (peran penyedia identitas yang menghadap internet) terpengaruh .

Rekomendasi Mitigasi

1. Patch Segera (24–48 Jam untuk Perangkat yang Terpapar Internet)

Terapkan versi yang diperbaiki yang dirilis pada 23 Maret 2026, sesuai advisory Citrix CTX696300:

• NetScaler ADC & Gateway 14.1-66.59 atau lebih baru
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 atau lebih baru
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Rotasi Semua Token Sesi

Setelah patching, nonaktifkan semua cookie NSC_AAAC, NSC_TMAS, dan NSC_TASS yang ada dan paksa autentikasi ulang untuk setiap pengguna .

3. Rotasi Semua Rahasia di Jalur Identitas

Kredensial bind LDAP, kunci signing SAML, kata sandi akun layanan, dan rahasia lain yang ada di memori perangkat selama jendela eksposur .

4. Terapkan Deteksi Signature

Pantau:

• Permintaan anomali ke endpoint /saml/login dan /wsfed/passive
• Respons HTTP yang sangat besar
• Penggunaan ulang token sesi yang tidak terduga

5. Segmentasi Jaringan

Isolasikan perangkat NetScaler dari jaringan internal jika memungkinkan, dan batasi konektivitas keluar dari perangkat .

6. Pertimbangkan Solusi Sementara

Jika patching tertunda, nonaktifkan endpoint SAML dan WS-Federation di Gateway atau batasi aksesnya melalui aturan WAF/reverse-proxy. Patching adalah satu-satunya solusi lengkap .