Luka 9,5, która wymaga konkretnej konfiguracji
9 października Citrix wydał łatki na CVE-2026-107406, przepełnienie pamięci w NetScaler ADC i NetScaler Gateway, które w określonych warunkach konfiguracji może prowadzić do zdalnego wykonania kodu lub odmowy usługi. Ma 9,5 w CVSS v4.0 i jest sklasyfikowane jako CWE-119, niewłaściwe ograniczenie operacji w obrębie bufora pamięci.
Citrix mówi, że nie ma dowodów wykorzystania w sieci, choć The Register zauważa, że nie podał, czy luka była użyta jako zero-day przed ujawnieniem. Citrix wskazał jako odkrywców badaczy z zespołu XOR JPMorgan Chase oraz Maxima Suhanova.
Sprawdzenie dwóch linii
Lukę można wykorzystać tylko wtedy, gdy urządzenie jest skonfigurowane jako dostawca tożsamości SAML lub dostawca usługi, a konfiguracja pokazuje, który to przypadek.
The Hacker News podaje dwa wpisy do wyszukania. Dostawca usługi SAML ma linię zaczynającą się od add authentication samlAction, a dostawca tożsamości SAML linię zaczynającą się od add authentication samlIdPProfile. Przeszukaj zapisaną konfigurację pod kątem obu. Jeśli żadnej nie ma, ten konkretny warunek nie jest spełniony, co nie zwalnia jednak urządzenia z pozostałych luk NetScaler opisanych niżej.
Które wersje są dotknięte
To, które wersje są podatne, zależy od roli SAML. Starsze są narażone w obu rolach, niektóre nowsze tylko jako dostawca tożsamości.
| Gałąź | Narażona jako SAML SP lub IdP | Narażona tylko jako SAML IdP | Naprawiona w |
|---|---|---|---|
| ADC i Gateway 14.1 | Przed 14.1-73.37 | 14.1-73.37 do 14.1-73.41 | 14.1-73.46 i nowsze |
| ADC 14.1-FIPS | Przed 14.1-73.37 FIPS | 14.1-73.37 FIPS do 14.1-73.41 FIPS | 14.1-73.46 FIPS i nowsze |
| ADC i Gateway 13.1 | Przed 13.1-64.23 | 13.1-64.23 do 13.1-64.28 | 13.1-64.29 i nowsze |
| ADC 13.1-FIPS i 13.1-NDcPP | Przed 13.1-37.279 | 13.1-37.279 do 13.1-37.282 | 13.1-37.283 i nowsze |
Dotknięte są też wdrożenia Secure Private Access Hybrid korzystające z instancji NetScaler i wymagają tej samej aktualizacji. Citrix sam obsługuje aktualizacje swoich zarządzanych usług w chmurze i Adaptive Authentication, więc tam nie ma nic do instalowania, a wszyscy, którzy utrzymują własne urządzenia, muszą je zaktualizować.
Ta sama funkcja stoi za wykorzystywanymi lukami
The Hacker News wymienia trzy inne luki NetScaler pod aktywnym wykorzystaniem: CVE-2026-88771, CVE-2026-88772 i CVE-2026-88779. Badacze Google powiedzieli, że kampania wykorzystująca CVE-2026-88772 trwała co najmniej od początku września, a prawdopodobnie dotknęła organizacje z rządu, finansów, prawa i edukacji w Ameryce Północnej i Europie, podaje The Register. Citrix ujawnił CVE-2026-88779 z oceną 8,7 w poprzedni piątek, a The Register zauważa, że ona i nowa luka to przepełnienia pamięci dotyczące konfiguracji SAML.
Citrix nie wskazał nowej luki jako wykorzystywanej, a to jest stwierdzenie o dniu dzisiejszym. Ponieważ ta sama funkcja dała w ostatnich tygodniach wykorzystywane luki, planowalibyśmy z założeniem, że atakujący też czytają ten komunikat.
Kolejność działań na ten tydzień
Zrób najpierw sprawdzenie konfiguracji, bo dzieli twoje urządzenia na te do załatania w tym tygodniu i te, które mogą poczekać na zwykły cykl.
Urządzenia z konfiguracją SAML idą pierwsze, na 14.1-73.46, 13.1-64.29 lub odpowiedni build FIPS, a wszystko, czemu wciąż brakuje poprawek na trzy wykorzystywane luki, ma pierwszeństwo przed tą. Jeśli aktualizacja nie jest możliwa w ciągu 72 godzin, ogranicz w międzyczasie, kto może dotrzeć do punktów końcowych SAML.
Potem traktuj NetScaler jak każdą bramę uwierzytelniania wystawioną do internetu: jeden wskazany właściciel, jedna subskrypcja komunikatów i stałe okno łatania. Citrix wydał teraz krytyczny komunikat na wierzchu trzech wykorzystywanych luk w ciągu kilku tygodni, a cykl miesięczny nie obejmuje takiego wzorca.
Czytaj dalej: Załatana w czerwcu, wykorzystana w sierpniu: luka w NetScalerze | CitrixBleed wraca, wykorzystany w ciągu doby
