CitrixBleed 3 (CVE-2026-3055): Análise técnica, cronograma de exploração e guia de mitigação

Detalhes Técnicos

Causa Raiz

A validação insuficiente de entrada leva a uma leitura de memória fora dos limites (CWE-125) . O appliance falha ao validar adequadamente parâmetros específicos em requisições de autenticação SAML e WS-Federation.

Vetores de Ataque

• Enviar uma requisição HTTP malformada para /saml/login sem o campo AssertionConsumerServiceURL
• Enviar uma requisição malformada para /wsfed/passive?wctx com um valor wctx vazio

Essas requisições malformadas disparam uma leitura excessiva, e o appliance retorna o conteúdo da memória em sua resposta HTTP .

Complexidade de Exploração

A exploração é descrita como "trivialmente simples" — uma única requisição HTTP GET ou POST não autenticada é suficiente . Nenhuma ferramenta especial, autenticação ou interação do usuário é necessária .

Dados Vazados

• Tokens de sessão ativos: cookies NSC_AAAC, NSC_TMAS, NSC_TASS
• Credenciais de bind LDAP
• Chaves de assinatura SAML
• Outros segredos presentes na memória do processo

Os dados vazados aparecem codificados em base64 dentro da resposta NSC_TASS .

Cronograma de Exploração

Infraestrutura de Ataque

Redes de Proxy Residenciais

Os atacantes usaram milhares de IPs de proxy residenciais para realizar reconhecimento e exploração, tornando o bloqueio por IP de origem ineficaz .

IPs de Atores de Ameaças Conhecidos

A watchTowr reportou IPs de origem específicos ligados a grupos de atores de ameaças conhecidos, que iniciaram a exploração em 27 de março .

Varredura Automatizada

O GreyNoise e outras plataformas de inteligência de ameaças detectaram varreduras em massa para endpoints vulneráveis (/saml/login, /wsfed/passive) dentro de dias após a divulgação .

Impacto

Sequestro de Sessão e Bypass de MFA

Os atacantes podem roubar tokens de sessão ativos da memória e reutilizá-los para se autenticar como qualquer usuário ativo, contornando completamente a autenticação multifator .

Roubo de Credenciais

Credenciais de bind LDAP e chaves de assinatura SAML na memória também podem ser exfiltradas, permitindo movimento lateral e acesso persistente .

Comprometimento do Caminho de Identidade

Como a falha vaza material do caminho do provedor de identidade, a rotação de todos os segredos "tocados" por esse caminho é necessária após o incidente .

Escopo

Todas as instâncias do NetScaler ADC e NetScaler Gateway configuradas como um Gateway ou servidor virtual AAA (função de provedor de identidade voltado para a internet) são afetadas .

Recomendações de Mitigação

1. Aplicar o Patch Imediatamente (24–48 Horas para Appliances Expostos à Internet)

Aplique as versões corrigidas liberadas em 23 de março de 2026, conforme o advisory CTX696300 da Citrix:

• NetScaler ADC & Gateway 14.1-66.59 ou posterior
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 ou posterior
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Rotacionar Todos os Tokens de Sessão

Após a aplicação do patch, invalide todos os cookies NSC_AAAC, NSC_TMAS e NSC_TASS existentes e force a reautenticação para todos os usuários .

3. Rotacionar Todos os Segredos no Caminho de Identidade

Credenciais de bind LDAP, chaves de assinatura SAML, senhas de contas de serviço e quaisquer outros segredos que estavam presentes na memória do appliance durante a janela de exposição .

4. Implementar Assinaturas de Detecção

Monitore para:

• Requisições anômalas para os endpoints /saml/login e /wsfed/passive
• Respostas HTTP excepcionalmente grandes
• Reutilização inesperada de token de sessão

5. Segmentação de Rede

Isole os appliances NetScaler da rede interna sempre que possível e limite a conectividade de saída do appliance .

6. Considerar Soluções Alternativas Temporárias

Se o patch for adiado, desabilite os endpoints SAML e WS-Federation no Gateway ou restrinja o acesso a eles por meio de regras de WAF/proxy reverso. A aplicação do patch é a única correção completa .