CitrixBleed 3 深度解析：CVE-2026-3055 NetScaler 内存越界读取漏洞全貌

更正说明： 在当前任何安全公告中均不存在标识为 CVE-2026-8451 的漏洞。公开讨论中称为“CitrixBleed 3”的漏洞实际上是 CVE-2026-3055（其伴生漏洞为 CVE-2026-4368）。本文将专门讨论 CVE-2026-3055。

CVE-2026-3055 是什么？

CVE-2026-3055 是 Citrix NetScaler ADC 和 NetScaler Gateway 中的一个严重级别（CVSS 9.3）的前置认证内存越界读取漏洞。它允许未认证的远程攻击者泄露设备内存中的敏感数据，包括活跃会话令牌和凭据。Citrix 于 2026 年 3 月 23 日通过安全公告 CTX696300 披露了此漏洞。这是继 CVE-2023-4966（"CitrixBleed"）和 CVE-2025-5777（"CitrixBleed 2"）之后的第三个同类“Bleed”系列漏洞。

技术细节

根本原因

输入验证不足导致越界内存读取（CWE-125）。设备未能正确验证 SAML 和 WS-Federation 认证请求中的特定参数。

攻击向量

• 向 /saml/login 发送缺少 AssertionConsumerServiceURL 字段的畸形请求
• 向 /wsfed/passive?wctx 发送带有空 wctx 值的畸形请求

这些畸形请求会触发越界读取，设备会在 HTTP 响应中返回内存内容。

利用复杂度

利用过程被描述为“极其简单”——仅需一个未认证的 HTTP GET 或 POST 请求即可完成。无需特殊工具、认证或用户交互。

泄露的数据

• 活跃会话令牌：NSC_AAAC、NSC_TMAS、NSC_TASS cookies
• LDAP 绑定凭据
• SAML 签名密钥
• 进程内存中存在的其他机密信息

泄露的数据以 base64 编码形式出现在 NSC_TASS 响应中。

利用时间线

日期	事件
2026-03-23	Citrix 发布安全公告 CTX696300 并发布补丁
2026-03-27	watchTowr Labs 确认来自已知威胁行为者 IP 的主动侦察和利用——仅距公告发布 4 天
2026-03-30	多家安全公司公开确认存在野外主动利用
~2026-03-31	CISA 将 CVE-2026-3055 添加到其已知被利用漏洞（KEV）目录中
2026-04–05 月	观察到大规模扫描；PoC 和利用代码广泛流传
2026 年 6 月初	大规模利用活动进入新一波，针对未打补丁的设备

攻击基础设施

住宅代理网络

攻击者使用数千个住宅代理 IP 进行侦察和利用，使得基于源 IP 的封禁策略失效。

已知威胁行为者 IP

watchTowr 报告称，从 3 月 27 日起，已有特定源 IP 与已知威胁行为者团体相关联并开始利用。

自动化扫描

GreyNoise 等威胁情报平台在公告发布后数天内便检测到针对脆弱端点（/saml/login、/wsfed/passive）的大规模扫描。

影响

会话劫持与 MFA 绕过

攻击者可以从内存中窃取活跃会话令牌，并利用它们以任何活跃用户的身份进行认证，完全绕过多因素认证。

凭据窃取

内存中的 LDAP 绑定凭据和 SAML 签名密钥也可能被窃取，从而实现横向移动和持久化访问。

身份路径受损

由于该漏洞会泄露来自身份提供者路径的材料，事件发生后需要轮换该路径涉及的所有机密信息。

影响范围

所有配置为 Gateway 或 AAA 虚拟服务器（面向互联网的身份提供者角色）的 NetScaler ADC 和 NetScaler Gateway 实例均受影响。

缓解措施建议

1. 立即打补丁（面向互联网的设备建议在 24-48 小时内完成）

根据 Citrix 公告 CTX696300，应用 2026 年 3 月 23 日发布的修复版本：

• NetScaler ADC 和 Gateway 14.1-66.59 或更高版本
• NetScaler ADC 和 Gateway 14.1-60.58
• NetScaler ADC 和 Gateway 13.1-62.23 或更高版本
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. 轮换所有会话令牌

打补丁后，立即作废所有现有的 NSC_AAAC、NSC_TMAS 和 NSC_TASS cookies，并强制所有用户重新认证。

3. 轮换身份路径中的所有密钥

包括 LDAP 绑定凭据、SAML 签名密钥、服务账户密码以及暴露窗口期间设备内存中存在的任何其他密钥。

4. 部署检测签名

监控以下异常：

• 对 /saml/login 和 /wsfed/passive 端点的异常请求
• 异常大的 HTTP 响应
• 意外的会话令牌重用

5. 网络隔离

尽可能将 NetScaler 设备与内部网络隔离，并限制设备的外连能力。

6. 考虑临时缓解措施

若补丁延迟，可暂时禁用 Gateway 上的 SAML 和 WS-Federation 端点，或通过 WAF/反向代理规则限制对其的访问。但请注意，打补丁是唯一完整的修复方案。