En fejl på 9,5, der kræver en bestemt opsætning
Den 9. oktober udsendte Citrix rettelser til CVE-2026-107406, et hukommelsesoverløb i NetScaler ADC og NetScaler Gateway, der under bestemte konfigurationsforhold kan føre til fjernudførelse af kode eller et lammende angreb. Den scorer 9,5 på CVSS v4.0 og er klassificeret som CWE-119, forkert begrænsning af operationer i en hukommelsesbuffer.
Citrix siger, at der ikke er tegn på udnyttelse i det fri, selv om The Register bemærker, at det ikke sagde, om fejlen blev brugt som zero-day før offentliggørelsen. Citrix krediterede forskere fra JPMorgan Chases XOR-team og Maxim Suhanov for fundet.
Tjekket på to linjer
Fejlen kan kun udnyttes, når enheden er sat op som SAML-identitetsudbyder eller som tjenesteudbyder, og konfigurationen viser, hvilken af dem der er tale om.
The Hacker News nævner to poster, man skal lede efter. En SAML-tjenesteudbyder har en linje, der starter med add authentication samlAction, og en SAML-identitetsudbyder en, der starter med add authentication samlIdPProfile. Søg efter begge i din gemte konfiguration. Findes ingen af dem, er netop denne betingelse ikke opfyldt, men det fritager ikke enheden for de andre NetScaler-fejl nedenfor.
Hvilke builds der er ramt
Hvilke builds der er sårbare, afhænger af SAML-rollen. Ældre builds er udsat i begge roller, nogle nyere kun som identitetsudbyder.
| Gren | Udsat som SAML-SP eller -IdP | Kun udsat som SAML-IdP | Rettet i |
|---|---|---|---|
| ADC og Gateway 14.1 | Før 14.1-73.37 | 14.1-73.37 til 14.1-73.41 | 14.1-73.46 og senere |
| ADC 14.1-FIPS | Før 14.1-73.37 FIPS | 14.1-73.37 FIPS til 14.1-73.41 FIPS | 14.1-73.46 FIPS og senere |
| ADC og Gateway 13.1 | Før 13.1-64.23 | 13.1-64.23 til 13.1-64.28 | 13.1-64.29 og senere |
| ADC 13.1-FIPS og 13.1-NDcPP | Før 13.1-37.279 | 13.1-37.279 til 13.1-37.282 | 13.1-37.283 og senere |
Secure Private Access Hybrid-implementeringer, der bruger NetScaler-instanser, er også ramt og skal have samme opgradering. Citrix klarer selv opdateringerne til sine administrerede cloudtjenester og Adaptive Authentication, så dér er intet at installere, mens alle, der kører egne enheder, selv skal opgradere dem.
Samme funktion ligger bag de udnyttede fejl
The Hacker News nævner tre andre NetScaler-fejl under aktiv udnyttelse: CVE-2026-88771, CVE-2026-88772 og CVE-2026-88779. Googles forskere sagde, at en kampagne, der udnytter CVE-2026-88772, havde kørt siden mindst begyndelsen af september, med organisationer i det offentlige, finans, jura og uddannelse i Nordamerika og Europa sandsynligvis ramt, skriver The Register. Citrix offentliggjorde CVE-2026-88779, vurderet til 8,7, fredagen før, og The Register bemærker, at den og den nye fejl begge er hukommelsesoverløb, der rammer SAML-konfigurationer.
Citrix har ikke udpeget den nye fejl som udnyttet, og det er en udtalelse om i dag. Fordi samme funktion de seneste uger har givet udnyttede fejl, ville vi planlægge ud fra, at angribere også læser denne advisory.
En rækkefølge for denne uge
Kør konfigurationstjekket først, for det sorterer dine enheder i dem, der skal patches i denne uge, og dem, der kan vente på den almindelige cyklus.
Enheder med SAML-opsætning går først, til 14.1-73.46, 13.1-64.29 eller den tilsvarende FIPS-build, og alt, der stadig mangler rettelserne til de tre udnyttede fejl, går foran denne. Hvis en opgradering ikke kan ske inden for 72 timer, så begræns i mellemtiden, hvem der kan nå SAML-endepunkterne.
Behandl derefter NetScaler som enhver internetvendt godkendelsesgateway: én udpeget ejer, ét abonnement på advisories og et fast patchvindue. Citrix har nu udsendt en kritisk advisory oven i tre udnyttede fejl inden for få uger, og en månedlig cyklus dækker ikke et mønster som det.
Læs videre: Rettet i juni, udnyttet i august: fejlen i NetScaler | CitrixBleed er tilbage, udnyttet inden for en dag
