CitrixBleed 3: Nowa krytyczna luka w NetScaler zagraża firmom na całym świecie

Uwaga: Nie istnieje luka o identyfikatorze CVE-2026-8451 w żadnym obecnym biuletynie bezpieczeństwa. Podatność publicznie określana jako „CitrixBleed 3” to CVE-2026-3055 (wraz z towarzyszącą CVE-2026-4368). Ten artykuł dotyczy wyłącznie CVE-2026-3055.

Czym jest CVE-2026-3055?

CVE-2026-3055 to krytyczna (CVSS 9.3) podatność na odczyt pamięci przed uwierzytelnieniem w urządzeniach Citrix NetScaler ADC i NetScaler Gateway . Pozwala ona nieuwierzytelnionemu zdalnemu atakującemu na wyciek wrażliwych danych z pamięci urządzenia, w tym aktywnych tokenów sesji i danych uwierzytelniających. Firma Citrix ujawniła tę lukę 23 marca 2026 r. w biuletynie CTX696300 . Jest to trzecia z serii podobnych podatności „Bleed”, po CVE-2023-4966 („CitrixBleed”) i CVE-2025-5777 („CitrixBleed 2”) .

Szczegóły techniczne

Przyczyna źródłowa

Niewystarczająca walidacja danych wejściowych prowadzi do odczytu pamięci poza dozwolonym zakresem (CWE-125) . Urządzenie nieprawidłowo waliduje określone parametry w żądaniach uwierzytelniania SAML i WS-Federation.

Wektory ataku

• Wysłanie nieprawidłowo sformułowanego żądania HTTP do /saml/login bez pola AssertionConsumerServiceURL
• Wysłanie nieprawidłowo sformułowanego żądania do /wsfed/passive?wctx z pustą wartością wctx

Te nieprawidłowe żądania wyzwalają odczyt poza zakresem, a urządzenie zwraca zawartość pamięci w odpowiedzi HTTP .

Złożoność eksploatacji

Eksploatacja jest opisywana jako „trywialnie prosta” – wystarczy jedno nieuwierzytelnione żądanie HTTP GET lub POST . Nie są wymagane żadne specjalne narzędzia, uwierzytelnianie ani interakcja użytkownika .

Wyciekające dane

• Aktywne tokeny sesji: ciasteczka NSC_AAAC, NSC_TMAS, NSC_TASS
• Dane uwierzytelniające wiązania LDAP
• Klucze podpisu SAML
• Inne sekrety obecne w pamięci procesu

Wyciekające dane pojawiają się zakodowane w base64 wewnątrz odpowiedzi NSC_TASS .

Harmonogram eksploatacji

Data	Wydarzenie
2026-03-23	Citrix publikuje biuletyn CTX696300 i udostępnia łatki
2026-03-27	watchTowr Labs potwierdza aktywne rozpoznanie i eksploatację ze znanych adresów IP grup atakujących – zaledwie 4 dni po ujawnieniu
2026-03-30	Wiele firm zajmujących się bezpieczeństwem publicznie potwierdza aktywną eksploatację w środowisku produkcyjnym
~2026-03-31	CISA dodaje CVE-2026-3055 do swojego katalogu znanych podatności wykorzystywanych (KEV)
Kwiecień–maj 2026	Zaobserwowano masowe skanowanie; kod proof-of-concept i exploity krążą powszechnie
Początek czerwca 2026	Wielkoskalowa kampania eksploatacji wchodzi w nową fazę, atakując na masową skalę niezałatane urządzenia

Infrastruktura ataku

Sieci proxy mieszkańcowych

Atakujący wykorzystali tysiące adresów IP z sieci proxy mieszkańcowych do prowadzenia rozpoznania i eksploatacji, co czyni blokowanie na podstawie IP nieskutecznym .

Znane adresy IP grup atakujących

Firma watchTowr poinformowała o konkretnych adresach IP powiązanych ze znanymi grupami atakujących, które rozpoczęły eksploatację 27 marca .

Zautomatyzowane skanowanie

GreyNoise i inne platformy wywiadu zagrożeń wykryły masowe skanowanie w poszukiwaniu podatnych punktów końcowych (/saml/login, /wsfed/passive) w ciągu kilku dni od ujawnienia .

Wpływ

Przechwytywanie sesji i ominięcie MFA

Atakujący mogą ukraść aktywne tokeny sesji z pamięci i użyć ich ponownie do uwierzytelnienia się jako dowolny aktywny użytkownik, całkowicie omijając uwierzytelnianie wieloskładnikowe .

Kradzież danych uwierzytelniających

Dane uwierzytelniające wiązania LDAP i klucze podpisu SAML w pamięci mogą również zostać wykradzione, umożliwiając ruch boczny i trwały dostęp .

Kompromitacja ścieżki tożsamości

Ponieważ luka wycieka materiały ze ścieżki dostawcy tożsamości, po incydencie wymagana jest rotacja wszystkich sekretów, które miały styczność z tą ścieżką .

Zakres

Wszystkie instancje NetScaler ADC i NetScaler Gateway skonfigurowane jako serwer wirtualny Gateway lub AAA (funkcjonujące jako dostępny z internetu dostawca tożsamości) są zagrożone .

Zalecenia dotyczące łagodzenia skutków

1. Natychmiastowe załatanie (24–48 godzin w przypadku urządzeń dostępnych z internetu)

Zastosuj poprawione wersje udostępnione 23 marca 2026 r., zgodnie z biuletynem Citrix CTX696300:

• NetScaler ADC i Gateway 14.1-66.59 lub nowszy
• NetScaler ADC i Gateway 14.1-60.58
• NetScaler ADC i Gateway 13.1-62.23 lub nowszy
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Rotacja wszystkich tokenów sesji

Po załataniu unieważnij wszystkie istniejące ciasteczka NSC_AAAC, NSC_TMAS i NSC_TASS oraz wymuś ponowne uwierzytelnienie dla każdego użytkownika .

3. Rotacja wszystkich sekretów w ścieżce tożsamości

Dane uwierzytelniające wiązania LDAP, klucze podpisu SAML, hasła do kont usługowych i wszelkie inne sekrety, które znajdowały się w pamięci urządzenia w okresie narażenia .

4. Wdrożenie sygnatur wykrywających

Monitoruj:

• Nietypowe żądania do punktów końcowych /saml/login i /wsfed/passive
• Niezwykle duże odpowiedzi HTTP
• Nieoczekiwane ponowne użycie tokenów sesji

5. Segmentacja sieci

Tam, gdzie to możliwe, izoluj urządzenia NetScaler od sieci wewnętrznej i ogranicz łączność wychodzącą z urządzenia .

6. Rozważ tymczasowe obejścia

W przypadku opóźnienia łatania, wyłącz punkty końcowe SAML i WS-Federation na Gateway lub ogranicz do nich dostęp za pomocą reguł WAF/reverse-proxy. Jednak łatanie jest jedynym kompletnym rozwiązaniem .