CitrixBleed 3: Ancaman Kritikal CVE-2026-3055 pada NetScaler – Apa yang Anda Perlu Tahu

Pembetulan Penting: Tiada kelemahan yang dikenali sebagai CVE-2026-8451 wujud dalam mana-mana nasihat keselamatan semasa. Kecacatan yang dibincangkan secara umum di bawah nama "CitrixBleed 3" ialah CVE-2026-3055 (bersama CVE-2026-4368). Artikel ini merangkumi CVE-2026-3055 secara eksklusif.

Apakah CVE-2026-3055?

CVE-2026-3055 adalah kelemahan memory overread pra-pengesahan kritikal (CVSS 9.3) dalam Citrix NetScaler ADC dan NetScaler Gateway . Ia membenarkan penyerang jauh tanpa pengesahan membocorkan data sensitif dari ingatan peranti, termasuk token sesi aktif dan kelayakan. Citrix mendedahkan kecacatan ini pada 23 Mac 2026 melalui nasihat CTX696300 . Ia adalah yang ketiga dalam siri kelemahan "Bleed" yang berkaitan, selepas CVE-2023-4966 ("CitrixBleed") dan CVE-2025-5777 ("CitrixBleed 2") .

Butiran Teknikal

Punca Utama

Pengesahan input yang tidak mencukupi membawa kepada bacaan ingatan di luar batas (CWE-125) . Peranti gagal mengesahkan parameter tertentu dalam permintaan pengesahan SAML dan WS-Federation dengan betul.

Vektor Serangan

• Hantar permintaan HTTP yang rosak ke /saml/login tanpa medan AssertionConsumerServiceURL
• Hantar permintaan rosak ke /wsfed/passive?wctx dengan nilai wctx kosong

Permintaan rosak ini mencetuskan overread, dan peranti mengembalikan kandungan ingatan dalam respons HTTPnya .

Kerumitan Eksploitasi

Eksploitasi digambarkan sebagai "sangat mudah" — satu permintaan HTTP GET atau POST tanpa pengesahan sudah memadai . Tiada alat khas, pengesahan, atau interaksi pengguna diperlukan .

Data yang Dibocorkan

• Token sesi aktif: kuki NSC_AAAC, NSC_TMAS, NSC_TASS
• Kelayakan ikatan LDAP (LDAP bind credentials)
• Kunci penandatanganan SAML
• Rahsia lain yang ada dalam ingatan proses

Data yang dibocorkan muncul dalam pengekodan base64 di dalam respons NSC_TASS .

Kronologi Eksploitasi

Tarikh	Peristiwa
2026-03-23	Citrix menerbitkan nasihat CTX696300 dan mengeluarkan tampalan
2026-03-27	watchTowr Labs mengesahkan peninjauan dan eksploitasi aktif dari IP aktor ancaman yang diketahui — hanya 4 hari selepas pendedahan
2026-03-30	Pelbagai firma keselamatan mengesahkan eksploitasi aktif di alam liar
~2026-03-31	CISA menambah CVE-2026-3055 ke katalog Known Exploited Vulnerabilities (KEV)
2026-04–Mei	Imbasan besar-besaran diperhatikan; kod bukti konsep dan eksploitasi beredar secara meluas
Awal Jun 2026	Kempen eksploitasi berskala besar memasuki gelombang baharu, menyasarkan peranti yang belum ditampal secara besar-besaran

Infrastruktur Serangan

Rangkaian Proksi Kediaman

Penyerang menggunakan ribuan IP proksi kediaman untuk menjalankan peninjauan dan eksploitasi, menjadikan sekatan IP sumber tidak berkesan .

IP Aktor Ancaman yang Diketahui

watchTowr melaporkan IP sumber tertentu yang dikaitkan dengan kumpulan aktor ancaman yang memulakan eksploitasi pada 27 Mac .

Imbasan Automatik

GreyNoise dan platform risikan ancaman lain mengesan imbasan besar-besaran untuk endpoint yang terdedah (/saml/login, /wsfed/passive) dalam beberapa hari selepas pendedahan .

Impak

Rampasan Sesi dan Pintasan MFA

Penyerang boleh mencuri token sesi aktif dari ingatan dan menggunakannya semula untuk mengesahkan sebagai mana-mana pengguna aktif, memintas sepenuhnya pengesahan berbilang faktor .

Kecurian Kelayakan

Kelayakan ikatan LDAP dan kunci penandatanganan SAML dalam ingatan juga boleh dieksfiltrasi, membolehkan pergerakan sisi dan akses berterusan .

Kompromi Laluan Identiti

Oleh kerana kecacatan ini membocorkan bahan dari laluan pembekal identiti, penggantian semua rahsia yang "disentuh" oleh laluan itu diperlukan selepas insiden .

Skop

Semua实例 NetScaler ADC dan NetScaler Gateway yang dikonfigurasikan sebagai pelayan maya Gateway atau AAA (peranan pembekal identiti yang terdedah ke internet) terjejas .

Cadangan Mitigasi

1. Tampal Segera (24–48 Jam untuk Peranti Terdedah ke Internet)

Gunakan versi tetap yang dikeluarkan pada 23 Mac 2026, mengikut nasihat Citrix CTX696300:

• NetScaler ADC & Gateway 14.1-66.59 atau lebih baharu
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 atau lebih baharu
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Putar Semua Token Sesi

Selepas menampal, batalkan semua kuki NSC_AAAC, NSC_TMAS, dan NSC_TASS yang sedia ada dan paksa pengesahan semula untuk setiap pengguna .

3. Putar Semua Rahsia dalam Laluan Identiti

Kelayakan ikatan LDAP, kunci penandatanganan SAML, kata laluan akaun perkhidmatan, dan mana-mana rahsia lain yang hadir dalam ingatan peranti semasa tempoh pendedahan .

4. Gunakan Tandatangan Pengesanan

Pantau untuk:

• Permintaan anomali ke endpoint /saml/login dan /wsfed/passive
• Respons HTTP yang luar biasa besar
• Penggunaan semula token sesi yang tidak dijangka

5. Segmentasi Rangkaian

Asingkan peranti NetScaler dari rangkaian dalaman jika boleh, dan hadkan sambungan keluar dari peranti .

6. Pertimbangkan Penyelesaian Sementara

Jika penampalan ditangguhkan, lumpuhkan endpoint SAML dan WS-Federation pada Gateway atau hadkan akses kepadanya melalui peraturan WAF/proksi songsang. Penampalan adalah satu-satunya pembetulan lengkap .