CitrixBleed 3 漏洞全解析：CVE-2026-3055 NetScaler 記憶體越界讀取威脅

勘誤說明： 目前並不存在名為 CVE-2026-8451 的漏洞。此處討論的「CitrixBleed 3」漏洞正確編號為 CVE-2026-3055（另有一個相關的 CVE-2026-4368）。本文將完全聚焦於 CVE-2026-3055 的分析。

什麼是 CVE-2026-3055？

CVE-2026-3055 是一個被評為嚴重 (CVSS 9.3) 等級的預認證記憶體越界讀取 (memory overread) 漏洞，影響 Citrix NetScaler ADC 和 NetScaler Gateway 。此漏洞允許未經認證的遠端攻擊者從設備記憶體中洩漏敏感資料，包括活躍的工作階段令牌和憑證。Citrix 已於 2026 年 3 月 23 日透過安全公告 CTX696300 揭露此問題 。這是繼 CVE-2023-4966（"CitrixBleed"）和 CVE-2025-5777（"CitrixBleed 2"）之後，同一系列的第三個「Bleed」漏洞 。

技術細節

根本原因

由於輸入驗證不足，導致緩衝區邊界外讀取（CWE-125）。設備在處理 SAML 和 WS-Federation 驗證請求時，未能正確驗證特定參數。

攻擊向量

• 向 /saml/login 發送一個缺少 AssertionConsumerServiceURL 欄位的惡意 HTTP 請求
• 向 /wsfed/passive?wctx 發送一個帶有空白 wctx 值的惡意請求

這些惡意請求會觸發越界讀取，設備會將其記憶體內容回傳在 HTTP 回應中 。

利用難度

安全專家形容此漏洞的利用方式「極其簡單」——只需一次未經認證的 HTTP GET 或 POST 請求即可完成 。無需特殊工具、無需認證、也無需使用者互動 。

可能洩漏的資料

• 活躍工作階段令牌：NSC_AAAC、NSC_TMAS、NSC_TASS cookies
• LDAP 綁定憑證
• SAML 簽署金鑰
• 其他存在於處理程序記憶體中的機密資料

洩漏的資料會以 Base64 編碼的形式出現在 NSC_TASS 回應中 。

攻擊時間軸

日期	事件
2026-03-23	Citrix 發布安全公告 CTX696300 並釋出修補程式
2026-03-27	watchTowr Labs 確認來自已知威脅行為者 IP 的活躍偵察與利用——僅在公告後 4 天
2026-03-30	多家安全公司公開確認網路上已出現活躍利用
~2026-03-31	CISA 將 CVE-2026-3055 列入其已知遭利用漏洞目錄 (KEV)
2026年4月至5月	觀察到大規模掃描；概念驗證碼和利用程式碼廣泛流傳
2026年6月初	大規模利用活動進入新一波浪潮，針對未修補的設備進行大規模攻擊

攻擊基礎設施

住宅代理網路

攻擊者使用了數千個住宅代理 IP 來進行偵察和利用，使得基於來源 IP 的封鎖策略完全失效 。

已知威脅行為者 IP

watchTowr 報告指出，特定的來源 IP 與已知的威脅行為者組織有關，這些 IP 自 3 月 27 日就開始發動攻擊 。

自動化掃描

GreyNoise 等威脅情報平台在漏洞公開後的幾天內，就偵測到針對弱點端點（/saml/login、/wsfed/passive）的大規模掃描活動 。

影響範圍

會話劫持與多因子認證繞過

攻擊者可以從記憶體中竊取活躍的工作階段令牌，並重複使用這些令牌來冒充任何活躍使用者進行身分驗證，從而完全繞過多因子認證（MFA） 。

憑證竊取

記憶體中的 LDAP 綁定憑證和 SAML 簽署金鑰也可能被竊取，使攻擊者能夠進行橫向移動並建立持續性存取 。

身分路徑淪陷

由於此漏洞會從身分提供者路徑中洩漏資料，因此安全事件發生後，必須輪替該路徑中「接觸過」的所有機密 。

受影響範圍

所有配置為 Gateway 或 AAA 虛擬伺服器（即面向網際網路的身分提供者角色）的 NetScaler ADC 和 NetScaler Gateway 實例均受影響 。

緩解措施建議

1. 立即修補（面向網際網路的設備應在 24-48 小時內完成）

根據 Citrix 於 2026 年 3 月 23 日發布的安全公告 CTX696300，套用以下修補版本：

• NetScaler ADC & Gateway 14.1-66.59 或更新版本
• NetScaler ADC & Gateway 14.1-60.58
• NetScaler ADC & Gateway 13.1-62.23 或更新版本
• NetScaler ADC 13.1-FIPS / NDcPP 13.1-37.262

2. 輪替所有工作階段令牌

修補完成後，立即廢止所有現有的 NSC_AAAC、NSC_TMAS 和 NSC_TASS cookies，並強制所有使用者重新進行身分驗證 。

3. 輪替身分路徑中的所有機密

LDAP 綁定憑證、SAML 簽署金鑰、服務帳戶密碼，以及在漏洞暴露期間存在於設備記憶體中的任何其他機密，都必須立即輪替 。

4. 部署偵測特徵

監控以下跡象：

• 對 /saml/login 和 /wsfed/passive 端點的異常請求
• 異常大量的 HTTP 回應
• 意料之外的工作階段令牌重複使用

5. 網路分段

在可能的情況下，將 NetScaler 設備與內部網路隔離，並限制從設備發起的對外連線 。

6. 考慮臨時緩解方案

如果無法立即修補，應暫時停用 Gateway 上的 SAML 和 WS-Federation 端點，或透過 WAF/反向代理規則限制存取。請注意，修補程式是唯一的完整解決方案 。