Citrix 30. jūnijā publicēja ielāpu NetScaler ADC un Gateway ievainojamībai CVE-2026-8451, kas ļauj lasīt ierīces operatīvo atmiņu bez jebkādiem akreditācijas datiem. CVSS vērtējums ir 8,8. Pirmie uzbrukumi reģistrēti 48 stundu laikā — CrowdSec izsekošanas ziņojumā norādīts, ka pirmajās četrās dienās no 71 unikālas uzbrucēja IP adreses ieradās 424 ekspluatācijas signāli, pīķā — 127 vienā dienā.
Ievainojamību salīdzina ar 2023. gada CitrixBleed (CVE-2023-4966), kuru tajā laikā izmantoja APT grupas un ransomware operatori. Mehānisms ir citādāks, bet sekas — tādas pašas: atmiņā noglabāti sesijas marķieri, paroles un privātās atslēgas var nonākt uzbrucēja rokās. watchTowr Labs tajā pašā dienā, kad Citrix publicēja paziņojumu, izlaida analīzi ar pierādījuma kodu — tas nenovēršami paātrināja aktīvo ekspluatāciju.
Kā kļūda darbojas
Problēma atrodas /saml/login galapunktā, kur NetScaler apstrādā SAML autentifikācijas pieprasījumus, ja ierīce konfigurēta kā SAML identitātes nodrošinātājs. XML parsers nepareizi apstrādāja neaizpēdiņotas XML atribūtu vērtības, kas sekoja jaunās rindas rakstzīmei. Tā rezultātā parsers turpināja lasīt atmiņu ārpus bufera robežām — klasisks out-of-bounds read, kuru ir vienkārši automatizēt.
Uzbrukumam pietiek ar vienu HTTP pieprasījumu no jebkuras interneta adreses. Nav vajadzīga parole, sertifikāts vai iekšēja tīkla piekļuve. Ierīce atbild ar nelielu atmiņas fragmentu, kura saturs mainās ar katru pieprasījumu, tāpēc uzbrucēji sūta daudzus pieprasījumus, lai savāktu lielāku ainas daļu.
Ko var noplūst
NetScaler ir perimetra iekārta — caur to iet darbinieku un klientu autentifikācijas satiksme. Tās operatīvajā atmiņā nepārtraukti cirkulē:
- aktīvie sesijas marķieri un VPN sīkdatnes
- paroles skaidrtekstā, ja lietojumprogrammas tās nešifrē pirms nosūtīšanas
- SSL/TLS sertifikātu privātās atslēgas
- SAML paziņojumu saturs ar lietotāju identitātes datiem
Sesijas marķieris ļauj uzbrucējam pārņemt autentificētu sesiju un apiet daudzfaktoru autentifikāciju. Tieši tā 2023. gada CitrixBleed bija tik efektīvs — no lietotāja viedokļa sesija izskatās neskarta, un IT komanda pirmos simptomus redz tikai vēlāk, kad kaitējums jau nodarīts.
“NetScaler kā SAML identitātes nodrošinātājs redz nemainīgu autentifikācijas satiksmes plūsmu, un atmiņā var būt sesijas marķieri un akreditācijas dati visiem darbiniekiem. Noplūdusi atmiņa var ļaut pārņemt aktīvas sesijas un apiet daudzfaktoru autentifikāciju.” — watchTowr Labs tehniskā analīze
Ekspluatācija sākās 48 stundu laikā
CrowdSec reģistrēja pirmos ļaunprātīgos pieprasījumus 2. jūlijā — aptuveni 48 stundas pēc tam, kad Citrix un watchTowr Labs publiskoja informāciju. Četrās dienās no 71 unikālas IP adreses ieradās 424 signāli. Uzbrukumu ģeogrāfiskā izcelsme: Dienvidāfrika, Vācija, Apvienotā Karaliste, Francija.
CrowdSec novērojumi liecina, ka uzbrucēji galvenokārt meklē infrastruktūras kontroli — pastāvīgu tīkla piekļuvi, nevis tikai atsevišķu akreditācijas datu zagšanu. Šāds mērķis atbilst APT grupu un organizētu ransomware operatoru darbības modelim, kuri pirms uzbrukuma iesākuma vēlas nostabilizēt piekļuvi.
Publisks pierādījuma kods jau ir pieejams, un, pēc SecurityWeek vērtējuma, barjera aktīvai ekspluatācijai ir faktiski novākta.
Skartās versijas un kas jādara
Citrix paziņojums CTX696604 nosaka minimālās drošās versijas:
- NetScaler ADC un Gateway 14.1-72.61 vai jaunāka
- NetScaler ADC un Gateway 13.1-63.18 vai jaunāka
Versija 12.1 vairs netiek atbalstīta un ielāpu nesaņems — tās operatoriem jāmigrē uz atbalstītu versiju.
Atjaunināšana vien neizlabo iespējamo kompromitāciju. Ja ierīce bija internetam pievienota pirms ielāpa uzstādīšanas, rotē visus akreditācijas datus, kas iet caur NetScaler: VPN sesijas, lietojumprogrammu sertifikātus, administratora akreditācijas datus. Pārbaudi pieprasījumu žurnālus /saml/login galapunktam sākot no 30. jūnija, meklējot atkārtotus pieprasījumus no ārpustīkla adresēm. NetScaler pārvaldības saskari aprobežo tikai iekšējā tīklā — tas samazina uzbrukuma virsmu nākamajai ievainojamībai.
Avoti
- CVE-2026-8451 “CitrixBleed”: Citrix NetScaler ADC/Gateway Memory Overread Exploited Within 24 Hours — Threat Modeling
- CVE-2026-8451: Citrix NetScaler SAML Memory Overread Under Active Exploitation — CrowdSec
- CitrixBleed To Infinity And Beyond — watchTowr Labs
- Citrix patches a new NetScaler flaw with echoes of CitrixBleed — CyberScoop
- New CitrixBleed Vulnerability Exploited Immediately After Public Disclosure — SecurityWeek
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.