CitrixBleed 3: нова критична вразливість CVE-2026-3055 у NetScaler – що варто знати кожному системному адміністратору

Технічні деталі

Першопричина

Недостатня перевірка вхідних даних призводить до читання пам'яті за межами виділеного буфера (CWE-125) . Пристрій некоректно валідує певні параметри в запитах аутентифікації SAML та WS-Federation.

Вектори атаки

• Надсилання сформованого HTTP-запиту на /saml/login без поля AssertionConsumerServiceURL
• Надсилання сформованого запиту на /wsfed/passive?wctx з порожнім значенням wctx

Ці запити викликають переповнення буфера, і пристрій повертає вміст пам'яті у HTTP-відповіді .

Складність експлуатації

Експлуатація описується як «тривіально проста» – достатньо одного неавтентифікованого HTTP GET або POST запиту . Жодних спеціальних інструментів, автентифікації чи взаємодії з користувачем не потрібно .

Які дані витікають

• Активні сесійні токени: NSC_AAAC, NSC_TMAS, NSC_TASS кукі
• LDAP облікові дані для зв'язування (bind credentials)
• Ключі підпису SAML
• Інші секрети, що знаходяться в пам'яті процесу

Витіклі дані з'являються у форматі base64 у відповіді NSC_TASS .

Хронологія експлуатації

Інфраструктура атак

Мережі резидентних проксі

Атакуючі використовують тисячі резидентних проксі-IP для розвідки та експлуатації, що робить блокування за IP-адресами неефективним .

Відомі IP-адреси зловмисників

watchTowr повідомила про конкретні IP-адреси джерел, пов'язані з відомими хакерськими групами, які почали експлуатацію 27 березня .

Автоматизоване сканування

Платформи кіберрозвідки, такі як GreyNoise, виявили масове сканування вразливих ендпоїнтів (/saml/login, /wsfed/passive) протягом кількох днів після оприлюднення .

Вплив

Викрадення сесій та обхід MFA

Атакуючі можуть викрасти активні сесійні токени з пам'яті та використати їх для автентифікації під будь-яким активним користувачем, повністю обходячи багатофакторну автентифікацію .

Крадіжка облікових даних

LDAP облікові дані та ключі підпису SAML також можуть бути викрадені, що дозволяє латеральне переміщення та отримання постійного доступу .

Компрометація шляху ідентифікації

Оскільки вразливість витікає матеріали зі шляху постачальника ідентифікації (IdP), після інциденту потрібна ротація всіх секретів, які «торкалися» цього шляху .

Сфера ураження

Усі екземпляри NetScaler ADC та NetScaler Gateway, налаштовані як Gateway або AAA віртуальний сервер (інтернет-орієнтована роль постачальника ідентифікації), є вразливими .

Рекомендації щодо захисту

1. Негайне встановлення патча (24–48 годин для інтернет-орієнтованих пристроїв)

Встановіть виправлені версії, випущені 23 березня 2026 року, згідно з бюлетенем CTX696300:

• NetScaler ADC & Gateway 14.1-66.59 або новіша
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 або новіша
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. Обертання всіх сесійних токенів

Після встановлення патча анулюйте всі існуючі кукі NSC_AAAC, NSC_TMAS та NSC_TASS і примусово вимагайте повторної автентифікації для всіх користувачів .

3. Обертання всіх секретів у шляху ідентифікації

Оберніть LDAP облікові дані для зв'язування, ключі підпису SAML, паролі службових облікових записів та будь-які інші секрети, які були в пам'яті пристрою протягом періоду експлуатації .

4. Впровадження сигнатур виявлення

Моніторте:

• Аномальні запити до /saml/login та /wsfed/passive ендпоїнтів
• Незвично великі HTTP-відповіді
• Неочікуване повторне використання сесійних токенів

5. Сегментація мережі

Ізолюйте пристрої NetScaler від внутрішньої мережі, де це можливо, та обмежте вихідне з'єднання з пристрою .

6. Тимчасові заходи обходу

Якщо встановлення патча затримується, тимчасово вимкніть SAML та WS-Federation ендпоїнти на Gateway або обмежте доступ до них через WAF/зворотний проксі-сервер. Встановлення патча є єдиним повноцінним рішенням .