CitrixBleed 3: analisi approfondita della vulnerabilità di overread della memoria CVE-2026-3055 in NetScaler

Dettagli tecnici

Causa principale

Una validazione degli input insufficiente porta a una lettura della memoria fuori dai limiti (CWE-125) . Il dispositivo non convalida correttamente parametri specifici nelle richieste di autenticazione SAML e WS-Federation.

Vettori di attacco

• Inviare una richiesta HTTP malformata a /saml/login senza il campo AssertionConsumerServiceURL
• Inviare una richiesta malformata a /wsfed/passive?wctx con un valore wctx vuoto

Queste richieste malformate innescano un overread e il dispositivo restituisce il contenuto della memoria nella sua risposta HTTP .

Complessità dello sfruttamento

Lo sfruttamento è descritto come "banalmente semplice": è sufficiente una singola richiesta HTTP GET o POST non autenticata . Non sono necessari strumenti speciali, autenticazione o interazione da parte dell'utente .

Dati sottratti

• Token di sessione attivi: cookie NSC_AAAC, NSC_TMAS, NSC_TASS
• Credenziali di bind LDAP
• Chiavi di firma SAML
• Altri segreti presenti nella memoria di processo

I dati sottratti appaiono codificati in base64 all'interno della risposta NSC_TASS .

Tempistiche dello sfruttamento

Infrastruttura degli attacchi

Reti di proxy residenziali

Gli attaccanti hanno utilizzato migliaia di IP proxy residenziali per condurre ricognizione e sfruttamento, rendendo inefficace il blocco basato sull'IP sorgente .

IP noti di attaccanti

watchTowr ha segnalato IP sorgente specifici legati a gruppi di attaccanti noti, che hanno iniziato lo sfruttamento il 27 marzo .

Scansione automatizzata

GreyNoise e altre piattaforme di threat intelligence hanno rilevato scansioni di massa per endpoint vulnerabili (/saml/login, /wsfed/passive) entro giorni dalla divulgazione .

Impatto

Dirottamento di sessione e bypass MFA

Gli attaccanti possono rubare token di sessione attivi dalla memoria e riutilizzarli per autenticarsi come qualsiasi utente attivo, bypassando completamente l'autenticazione multi-fattore .

Furto di credenziali

Le credenziali di bind LDAP e le chiavi di firma SAML in memoria possono anche essere esfiltrate, consentendo movimenti laterali e accesso persistente .

Compromissione del percorso di identità

Poiché la falla perde materiale dal percorso del provider di identità, è richiesta la rotazione di tutti i segreti "toccati" da quel percorso dopo l'incidente .

Ambito

Tutte le istanze di NetScaler ADC e NetScaler Gateway configurate come server virtuale Gateway o AAA (ruolo di provider di identità esposto su Internet) sono interessate .

Raccomandazioni per la mitigazione

1. Applicare la patch immediatamente (entro 24-48 ore per i dispositivi esposti su Internet)

Applicare le versioni corrette rilasciate il 23 marzo 2026, secondo l'avviso Citrix CTX696300:

• NetScaler ADC e Gateway 14.1-66.59 o successive
• NetScaler ADC e Gateway 14.1-60.58
• NetScaler ADC e Gateway 13.1-62.23 o successive
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Ruotare tutti i token di sessione

Dopo aver applicato la patch, invalidare tutti i cookie NSC_AAAC, NSC_TMAS e NSC_TASS esistenti e forzare la ri-autenticazione per ogni utente .

3. Ruotare tutti i segreti nel percorso di identità

Credenziali di bind LDAP, chiavi di firma SAML, password degli account di servizio e qualsiasi altro segreto presente nella memoria del dispositivo durante la finestra di esposizione .

4. Implementare firme di rilevamento

Monitorare per:

• Richieste anomale agli endpoint /saml/login e /wsfed/passive
• Risposte HTTP insolitamente grandi
• Riutilizzo inaspettato di token di sessione

5. Segmentazione della rete

Isolare i dispositivi NetScaler dalla rete interna ove possibile e limitare la connettività in uscita dal dispositivo .

6. Considerare soluzioni temporanee

Se l'applicazione della patch è ritardata, disabilitare gli endpoint SAML e WS-Federation sul Gateway o limitarne l'accesso tramite regole WAF/reverse-proxy. L'applicazione della patch rimane l'unica soluzione completa .