CitrixBleed 3: Binnenkant van de CVE-2026-3055 NetScaler Memory Overread-kwetsbaarheid

Correctie: Er bestaat geen kwetsbaarheid met de identificatie CVE-2026-8451 in enige huidige security advisory. Het beveiligingslek dat publiekelijk onder de naam "CitrixBleed 3" wordt besproken, is CVE-2026-3055 (met begeleidende CVE-2026-4368). Dit artikel behandelt uitsluitend CVE-2026-3055.

Wat is CVE-2026-3055?

CVE-2026-3055 is een kritieke (CVSS 9.3) pre-authenticatie memory overread-kwetsbaarheid in Citrix NetScaler ADC en NetScaler Gateway . Het stelt een niet-geauthenticeerde externe aanvaller in staat om gevoelige gegevens uit het appliance-geheugen te lekken, waaronder actieve sessietokens en inloggegevens. Citrix maakte het lek op 23 maart 2026 bekend via advisory CTX696300 . Het is de derde in een reeks gerelateerde "Bleed"-kwetsbaarheden, na CVE-2023-4966 ("CitrixBleed") en CVE-2025-5777 ("CitrixBleed 2") .

Technische details

Oorzaak

Onvoldoende invoervalidatie leidt tot een out-of-bounds geheugenlezing (CWE-125) . Het appliance slaagt er niet in om specifieke parameters in SAML- en WS-Federation-authenticatieverzoeken correct te valideren.

Aanvalsvectoren

• Stuur een misvormd HTTP-verzoek naar /saml/login zonder het veld AssertionConsumerServiceURL
• Stuur een misvormd verzoek naar /wsfed/passive?wctx met een lege wctx-waarde

Deze misvormde verzoeken veroorzaken een overread, waarna het appliance de geheugeninhoud retourneert in zijn HTTP-antwoord .

Exploitatiecomplexiteit

Exploitatie wordt omschreven als "triviaal eenvoudig" — een enkel niet-geauthenticeerd HTTP GET- of POST-verzoek is voldoende . Er zijn geen speciale tools, authenticatie of gebruikersinteractie vereist .

Gelekte gegevens

• Actieve sessietokens: NSC_AAAC-, NSC_TMAS-, NSC_TASS-cookies
• LDAP-bindingsreferenties
• SAML-ondertekeningssleutels
• Andere geheimen die aanwezig zijn in het procesgeheugen

Gelekte gegevens verschijnen base64-gecodeerd in de NSC_TASS-respons .

Exploitatie-tijdlijn

Datum	Gebeurtenis
2026-03-23	Citrix publiceert advisory CTX696300 en brengt patches uit
2026-03-27	watchTowr Labs bevestigt actieve verkenning en exploitatie vanaf bekende IP-adressen van dreigingsactoren — slechts 4 dagen na de bekendmaking
2026-03-30	Meerdere beveiligingsbedrijven bevestigen publiekelijk actieve exploitatie in het wild
~2026-03-31	CISA voegt CVE-2026-3055 toe aan de Known Exploited Vulnerabilities (KEV)-catalogus
2026-04–mei	Massascans waargenomen; proof-of-concept- en exploitcode circuleren breed
Begin juni 2026	Grootschalige exploitatiecampagne begint aan een nieuwe golf, gericht op ongepatchte appliances op grote schaal

Aanvalsinfrastructuur

Residential proxy-netwerken

Aanvallers gebruikten duizenden residential proxy-IP's voor verkenning en exploitatie, waardoor blokkering op basis van bron-IP ineffectief werd .

Bekende IP-adressen van dreigingsactoren

watchTowr rapporteerde specifieke bron-IP's die aan bekende dreigingsactoren zijn gekoppeld en die op 27 maart met exploitatie begonnen .

Geautomatiseerd scannen

GreyNoise en andere threat intelligence-platforms detecteerden massascans op kwetsbare endpoints (/saml/login, /wsfed/passive) binnen dagen na de bekendmaking .

Impact

Sessiekaping en MFA-omzeiling

Aanvallers kunnen actieve sessietokens uit het geheugen stelen en deze hergebruiken om zich als elke actieve gebruiker te authenticeren, waarbij multi-factor authenticatie volledig wordt omzeild .

Diefstal van inloggegevens

LDAP-bindingsreferenties en SAML-ondertekeningssleutels in het geheugen kunnen ook worden geëxfiltreerd, wat laterale beweging en persistente toegang mogelijk maakt .

Identiteitspad-compromittering

Omdat het lek materiaal uit het identiteitsproviderpad lekt, is rotatie van alle geheimen die door dat pad zijn "aangeraakt" vereist na een incident .

Scope

Alle NetScaler ADC- en NetScaler Gateway-instanties die zijn geconfigureerd als een Gateway- of AAA-virtuele server (internetgerichte identiteitsproviderrol) zijn getroffen .

Mitigatie-aanbevelingen

1. Direct patchen (binnen 24–48 uur voor internetgerichte appliances)

Pas de op 23 maart 2026 uitgebrachte gefixeerde versies toe, zoals vermeld in Citrix-advisory CTX696300:

• NetScaler ADC & Gateway 14.1-66.59 of later
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 of later
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Roteer alle sessietokens

Na het patchen: annuleer alle bestaande NSC_AAAC-, NSC_TMAS- en NSC_TASS-cookies en dwing herauthenticatie af voor elke gebruiker .

3. Roteer alle geheimen in het identiteitspad

LDAP-bindingsreferenties, SAML-ondertekeningssleutels, serviceaccount-wachtwoorden en alle andere geheimen die tijdens het blootstellingsvenster in het appliance-geheugen aanwezig waren .

4. Implementeer detectiesignaturen

Monitor op:

• Afwijkende verzoeken naar /saml/login en /wsfed/passive endpoints
• Ongewoon grote HTTP-antwoorden
• Onverwacht hergebruik van sessietokens

5. Netwerksegmentatie

Isoleer NetScaler-appliances waar mogelijk van het interne netwerk en beperk uitgaande connectiviteit vanaf het appliance .

6. Overweeg tijdelijke workarounds

Als patchen wordt uitgesteld, schakel dan SAML- en WS-Federation-endpoints op de Gateway uit of beperk de toegang ertoe via WAF/reverse-proxy-regels. Patchen is de enige volledige oplossing .