CitrixBleed 3: Inuti CVE-2026-3055 – NetScaler-minnesläckan som hotar svenska organisationer

Rättelse: Ingen sårbarhet med beteckningen CVE-2026-8451 finns i någon aktuell säkerhetsvarning. Den sårbarhet som offentligt diskuteras under namnet "CitrixBleed 3" är CVE-2026-3055 (med kompletterande CVE-2026-4368). Denna artikel täcker enbart CVE-2026-3055.

Vad är CVE-2026-3055?

CVE-2026-3055 är en kritisk (CVSS 9,3) minnessårbarhet för minnesavläsning före autentisering i Citrix NetScaler ADC och NetScaler Gateway . Den gör det möjligt för en oautentiserad fjärrangripare att läcka känslig data från enhetens minne, inklusive aktiva sessionsnycklar och inloggningsuppgifter. Citrix offentliggjorde sårbarheten den 23 mars 2026 via säkerhetsvarningen CTX696300 . Det är den tredje i en serie relaterade "Bleed"-sårbarheter, efter CVE-2023-4966 ("CitrixBleed") och CVE-2025-5777 ("CitrixBleed 2") .

Tekniska detaljer

Grundorsak

Otillräcklig indatavalidering leder till en minnesavläsning utanför avsett område (CWE-125) . Enheten misslyckas med att korrekt validera specifika parametrar i SAML- och WS-Federation-autentiseringsbegäranden.

Attackvektorer

• Skicka en felaktig HTTP-förfrågan till /saml/login utan fältet AssertionConsumerServiceURL
• Skicka en felaktig förfrågan till /wsfed/passive?wctx med ett tomt wctx-värde

Dessa felaktiga förfrågor utlöser en minnesavläsning, och enheten returnerar minnesinnehåll i sitt HTTP-svar .

Exploateringskomplexitet

Exploateringen beskrivs som "trivialt enkel" – en enda oautentiserad HTTP GET- eller POST-förfrågan är tillräcklig . Inga speciella verktyg, autentisering eller användarinteraktion krävs .

Läckt data

• Aktiva sessionsnycklar: NSC_AAAC-, NSC_TMAS- och NSC_TASS-cookies
• LDAP-bindningsuppgifter
• SAML-signeringsnycklar
• Andra hemligheter som finns i processminnet

Läckt data visas base64-kodad inuti NSC_TASS-svaret .

Exploateringstidslinje

Datum	Händelse
2026-03-23	Citrix publicerar varning CTX696300 och släpper patchar
2026-03-27	watchTowr Labs bekräftar aktiv spaning och exploatering från kända hotaktörers IP-adresser – bara 4 dagar efter offentliggörandet
2026-03-30	Flera säkerhetsföretag bekräftar offentlig aktiv exploatering i det vilda
~2026-03-31	CISA lägger till CVE-2026-3055 i sin katalog över kända exploaterade sårbarheter (KEV)
2026-04–maj	Massgenomsökning observerad; proof-of-concept och exploateringskod cirkulerar brett
Tidigt juni 2026	Storskalig exploateringskampanj går in i en ny våg och riktar sig mot opatchade enheter i stor skala

Attackinfrastruktur

Residential proxy-nätverk

Angripare använde tusentals residential proxy-IP-adresser för spaning och exploatering, vilket gjorde blockering av käll-IP ineffektivt .

Kända hotaktörers IP-adresser

watchTowr rapporterade specifika käll-IP-adresser kopplade till kända hotaktörsgrupper som började exploatera den 27 mars .

Automatiserad genomsökning

GreyNoise och andra hotintelligensplattformar upptäckte massgenomsökning av sårbara slutpunkter (/saml/login, /wsfed/passive) inom dagar efter offentliggörandet .

Konsekvenser

Sessionskapning och MFA-kringgående

Angripare kan stjäla aktiva sessionsnycklar från minnet och återanvända dem för att autentisera sig som vilken aktiv användare som helst, vilket helt kringgår tvåfaktorsautentisering .

Stöld av inloggningsuppgifter

LDAP-bindningsuppgifter och SAML-signeringsnycklar i minnet kan också exfiltreras, vilket möjliggör lateral förflyttning och ihållande åtkomst .

Kompromettering av identitetssökväg

Eftersom sårbarheten läcker material från identitetsproviderns sökväg krävs rotation av alla hemligheter som "berörts" av den sökvägen efter en incident .

Omfattning

Alla NetScaler ADC- och NetScaler Gateway-instanser som är konfigurerade som en Gateway- eller AAA-virtuell server (internetvänd identitetsproviderroll) påverkas .

Åtgärdsrekommendationer

1. Patcha omedelbart (24–48 timmar för internetvända enheter)

Applicera de fasta versioner som släpptes den 23 mars 2026 enligt Citrix varning CTX696300:

• NetScaler ADC & Gateway 14.1-66.59 eller senare
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 eller senare
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Rotera alla sessionsnycklar

Efter patchning, ogiltigförklara alla befintliga NSC_AAAC-, NSC_TMAS- och NSC_TASS-cookies och tvinga fram omautentisering för varje användare .

3. Rotera alla hemligheter i identitetssökvägen

LDAP-bindningsuppgifter, SAML-signeringsnycklar, tjänstkontolösenord och andra hemligheter som funnits i enhetens minne under exponeringsfönstret .

4. Inför detektionssignaturer

Övervaka efter:

• Avvikande förfrågningar till slutpunkterna /saml/login och /wsfed/passive
• Ovanligt stora HTTP-svar
• Oväntad återanvändning av sessionsnycklar

5. Nätverkssegmentering

Isolera NetScaler-enheter från det interna nätverket där det är möjligt och begränsa utgående anslutningar från enheten .

6. Överväg tillfälliga kringgåenden

Om patchning försenas, inaktivera SAML- och WS-Federation-slutpunkter på Gatewayen eller begränsa åtkomst till dem via WAF/reverse-proxy-regler. Patchning är den enda fullständiga lösningen .