CitrixBleed 3: Внутреннее устройство уязвимости CVE-2026-3055 — утечка памяти в NetScaler

Технические детали

Корневая причина

Недостаточная проверка входных данных приводит к чтению за границами буфера (CWE-125) . Устройство некорректно обрабатывает определённые параметры в запросах аутентификации по протоколам SAML и WS-Federation.

Векторы атаки

• Отправка повреждённого HTTP-запроса на /saml/login без поля AssertionConsumerServiceURL
• Отправка запроса на /wsfed/passive?wctx с пустым значением wctx

Такие манипуляции заставляют устройство отвечать содержимым оперативной памяти в HTTP-ответе .

Сложность эксплуатации

Эксплуатация описывается как "тривиально простая" — достаточно одного GET- или POST-запроса без аутентификации . Не требуется специальных инструментов, аутентификации или взаимодействия с пользователем .

Какие данные утекают

• Активные сессионные токены: NSC_AAAC, NSC_TMAS, NSC_TASS cookies
• Учётные данные для привязки LDAP
• Ключи подписи SAML
• Другие секреты, хранящиеся в памяти процесса

Утёкшие данные, как правило, закодированы в Base64 внутри ответа NSC_TASS .

Хронология эксплуатации

Инфраструктура атак

Резидентные прокси-сети

Злоумышленники используют тысячи IP-адресов резидентных прокси для разведки и эксплуатации, делая блокировку по IP-адресу неэффективной .

IP-адреса известных угроз

watchTowr сообщила о конкретных IP-адресах, принадлежащих известным группам, которые начали эксплуатацию 27 марта .

Автоматизированное сканирование

GreyNoise и другие платформы киберразведки зафиксировали массовое сканирование уязвимых конечных точек (/saml/login, /wsfed/passive) в течение нескольких дней после раскрытия уязвимости .

Последствия

Перехват сессий и обход MFA

Злоумышленники могут украсть активные сессионные токены из памяти устройства и использовать их для аутентификации от имени любого активного пользователя, полностью обходя многофакторную аутентификацию (MFA) .

Кража учётных данных

LDAP-учётные данные и ключи подписи SAML также могут быть извлечены из памяти, что позволяет атакующим перемещаться по сети и закрепляться в инфраструктуре .

Компрометация Identity Path

Поскольку уязвимость раскрывает данные из пути Identity Provider, после инцидента требуется ротация всех секретов, "затронутых" этим путём .

Маcштаб

Уязвимы все экземпляры NetScaler ADC и Gateway, настроенные как Gateway или AAA-виртуальный сервер (выполняющие роль публичного Identity Provider) .

Рекомендации по защите

1. Немедленно установить патч (в течение 24–48 часов для публичных устройств)

Применить исправленные версии от 23 марта 2026 г. согласно бюллетеню CTX696300:

• NetScaler ADC и Gateway 14.1-66.59 или новее
• NetScaler ADC и Gateway 14.1-60.58
• NetScaler ADC и Gateway 13.1-62.23 или новее
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Сбросить все сессионные токены

После установки патча необходимо аннулировать все существующие cookies NSC_AAAC, NSC_TMAS и NSC_TASS и принудительно заставить всех пользователей пройти повторную аутентификацию .

3. Ротировать все секреты Identity Path

LDAP-учётные данные, ключи подписи SAML, пароли сервисных учётных записей и любые другие секреты, которые находились в памяти устройства во время возможной эксплуатации .

4. Развернуть сигнатуры обнаружения

Отслеживать:

• Аномальные запросы к /saml/login и /wsfed/passive
• Необычно большие HTTP-ответы
• Неожиданное повторное использование сессионных токенов

5. Сегментация сети

Изолировать устройства NetScaler от внутренней сети, насколько это возможно, и ограничить исходящие соединения с устройства .

6. Рассмотреть временные обходные меры

Если патч невозможно установить немедленно, временно отключите конечные точки SAML и WS-Federation на Gateway или ограничьте доступ к ним через WAF/обратный прокси. Внимание: установка патча остаётся единственным полным решением .