CitrixBleed 3: analisi approfondita della vulnerabilità di overread della memoria CVE-2026-3055 in NetScaler

Precisazione: Non esiste alcuna vulnerabilità identificata come CVE-2026-8451 nei bollettini di sicurezza correnti. La falla discussa pubblicamente con il nome "CitrixBleed 3" è CVE-2026-3055 (con la correlata CVE-2026-4368). Questo articolo tratta esclusivamente CVE-2026-3055.

Cos'è CVE-2026-3055?

CVE-2026-3055 è una vulnerabilità critica (CVSS 9.3) di overread della memoria pre-autenticazione in Citrix NetScaler ADC e NetScaler Gateway . Consente a un attaccante remoto non autenticato di sottrarre dati sensibili dalla memoria del dispositivo, inclusi token di sessione attivi e credenziali. Citrix ha divulgato la falla il 23 marzo 2026 tramite l'avviso CTX696300 . Si tratta del terzo episodio di una serie di vulnerabilità "Bleed" correlate, dopo CVE-2023-4966 ("CitrixBleed") e CVE-2025-5777 ("CitrixBleed 2") .

Dettagli tecnici

Causa principale

Una validazione degli input insufficiente porta a una lettura della memoria fuori dai limiti (CWE-125) . Il dispositivo non convalida correttamente parametri specifici nelle richieste di autenticazione SAML e WS-Federation.

Vettori di attacco

• Inviare una richiesta HTTP malformata a /saml/login senza il campo AssertionConsumerServiceURL
• Inviare una richiesta malformata a /wsfed/passive?wctx con un valore wctx vuoto

Queste richieste malformate innescano un overread e il dispositivo restituisce il contenuto della memoria nella sua risposta HTTP .

Complessità dello sfruttamento

Lo sfruttamento è descritto come "banalmente semplice": è sufficiente una singola richiesta HTTP GET o POST non autenticata . Non sono necessari strumenti speciali, autenticazione o interazione da parte dell'utente .

Dati sottratti

• Token di sessione attivi: cookie NSC_AAAC, NSC_TMAS, NSC_TASS
• Credenziali di bind LDAP
• Chiavi di firma SAML
• Altri segreti presenti nella memoria di processo

I dati sottratti appaiono codificati in base64 all'interno della risposta NSC_TASS .

Tempistiche dello sfruttamento

Data	Evento
2026-03-23	Citrix pubblica l'avviso CTX696300 e rilascia le patch
2026-03-27	watchTowr Labs conferma attività di ricognizione e sfruttamento da IP noti di attaccanti — soli 4 giorni dopo la divulgazione
2026-03-30	Diverse società di sicurezza confermano pubblicamente lo sfruttamento attivo in circolazione
~2026-03-31	CISA aggiunge CVE-2026-3055 al suo catalogo Known Exploited Vulnerabilities (KEV)
2026-04–Maggio	Osservata scansione di massa; prove di concetto e codice exploit circolano ampiamente
Inizio giugno 2026	Campagna di sfruttamento su larga scala entra in una nuova ondata, colpendo i dispositivi non patchati su larga scala

Infrastruttura degli attacchi

Reti di proxy residenziali

Gli attaccanti hanno utilizzato migliaia di IP proxy residenziali per condurre ricognizione e sfruttamento, rendendo inefficace il blocco basato sull'IP sorgente .

IP noti di attaccanti

watchTowr ha segnalato IP sorgente specifici legati a gruppi di attaccanti noti, che hanno iniziato lo sfruttamento il 27 marzo .

Scansione automatizzata

GreyNoise e altre piattaforme di threat intelligence hanno rilevato scansioni di massa per endpoint vulnerabili (/saml/login, /wsfed/passive) entro giorni dalla divulgazione .

Impatto

Dirottamento di sessione e bypass MFA

Gli attaccanti possono rubare token di sessione attivi dalla memoria e riutilizzarli per autenticarsi come qualsiasi utente attivo, bypassando completamente l'autenticazione multi-fattore .

Furto di credenziali

Le credenziali di bind LDAP e le chiavi di firma SAML in memoria possono anche essere esfiltrate, consentendo movimenti laterali e accesso persistente .

Compromissione del percorso di identità

Poiché la falla perde materiale dal percorso del provider di identità, è richiesta la rotazione di tutti i segreti "toccati" da quel percorso dopo l'incidente .

Ambito

Tutte le istanze di NetScaler ADC e NetScaler Gateway configurate come server virtuale Gateway o AAA (ruolo di provider di identità esposto su Internet) sono interessate .

Raccomandazioni per la mitigazione

1. Applicare la patch immediatamente (entro 24-48 ore per i dispositivi esposti su Internet)

Applicare le versioni corrette rilasciate il 23 marzo 2026, secondo l'avviso Citrix CTX696300:

• NetScaler ADC e Gateway 14.1-66.59 o successive
• NetScaler ADC e Gateway 14.1-60.58
• NetScaler ADC e Gateway 13.1-62.23 o successive
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Ruotare tutti i token di sessione

Dopo aver applicato la patch, invalidare tutti i cookie NSC_AAAC, NSC_TMAS e NSC_TASS esistenti e forzare la ri-autenticazione per ogni utente .

3. Ruotare tutti i segreti nel percorso di identità

Credenziali di bind LDAP, chiavi di firma SAML, password degli account di servizio e qualsiasi altro segreto presente nella memoria del dispositivo durante la finestra di esposizione .

4. Implementare firme di rilevamento

Monitorare per:

• Richieste anomale agli endpoint /saml/login e /wsfed/passive
• Risposte HTTP insolitamente grandi
• Riutilizzo inaspettato di token di sessione

5. Segmentazione della rete

Isolare i dispositivi NetScaler dalla rete interna ove possibile e limitare la connettività in uscita dal dispositivo .

6. Considerare soluzioni temporanee

Se l'applicazione della patch è ritardata, disabilitare gli endpoint SAML e WS-Federation sul Gateway o limitarne l'accesso tramite regole WAF/reverse-proxy. L'applicazione della patch rimane l'unica soluzione completa .