Citrix har släppt akuta uppdateringar för en NetScaler-zero-day som angripare har utnyttjat mot enheter som använder SAML-autentisering. Sårbarheten, som spåras som CVE-2026-88779, kan krascha drabbade system och avbryta åtkomsten till tjänster.
Felet i minnesbufferten påverkar NetScaler ADC- och NetScaler Gateway-installationer som använder SAML-autentisering med Gateway- eller AAA-funktionalitet. Det har en CVSS-allvarlighetsgrad på 8,7.
Samtidigt undersöker forskare bevis på möjlig fjärrkörning av kod. Citrix har bekräftat överbelastningsattacker, men den bredare påverkan utreds fortfarande.
Upprepade attacker kan hålla tjänster offline
Enligt Citrix har angripare riktat in sig på installationer som saknar skydd mot sårbarheten. Upprepad exploatering kan göra att drabbade tjänster förblir otillgängliga.
Företaget säger att dess analys har identifierat ett tillgänglighetsproblem utan att hitta någon påverkan på integriteten hos kunddata. Den bedömningen löser dock inte forskarnas separata farhågor kring möjlig kodkörning.
Administratörer rapporterade först oväntade omstarter på enheter som redan hade fått de tidigare säkerhetsuppdateringarna. Vissa beskrev liknande fel även efter att systemen hade byggts om från nya avbildningar.
Flera rapporter identifierade upprepade krascher i autentiseringsprocessen nsaaad. Till slut nådde NetScalers övervakningsprocess Pitboss sin gräns för omstarter och startade om enheten.
Nya uppdateringar ersätter tidigare säkerhetsfixar
Citrix släppte följande versioner för att åtgärda NetScaler-zero-day-sårbarheten:
- NetScaler ADC och Gateway 14.1: 14.1-73.41
- NetScaler ADC och Gateway 13.1: 13.1-64.28
- NetScaler 14.1 FIPS-installationer: 14.1-73.41 FIPS
- NetScaler ADC 13.1 FIPS- och NDcPP-installationer: 13.1-37.282
Organisationer som installerade tidigare uppdateringar måste uppgradera igen om deras installationer uppfyller kraven för den berörda konfigurationen.
Administratörer kan kontrollera efter SAML-tjänsteleverantörskonfigurationer som innehåller add authentication samlAction. Alternativt kan SAML-identitetsleverantörskonfigurationer innehålla add authentication samlIdPProfile.
Citrix erbjuder även Global Deny Lists för att blockera kända skadliga IP-adresser. Företaget rekommenderar trots detta att de nya uppdateringarna installeras så snart som möjligt.
Forskare undersöker möjlig kodkörning
En administratör som undersökte krascher hittade manipulerade användarnamn för autentisering som innehöll kommandon utformade för att ladda ner och köra en extern nyttolast.
Dessa förfrågningar dök upp omedelbart före tre bekräftade sekvenser av krascher i autentiseringsprocessen. De riktade sig även mot flera SAML-autentiseringsfaktorer.
Administratören betonade dock att loggarna visade försök till exploatering och tillhörande krascher. De fastställde inte att enheten lyckades köra kommandona.
Separat rapporterade säkerhetsforskaren Kevin Beaumont krascher på patchade NetScaler 13.1- och 14.1-honeypots som tog emot förfrågningar från flera IP-adresser. Han uppgav senare att en honeypot körde en nedladdad binär fil med skadlig kod.
Den observationen väcker farhågor om en påverkan som går utöver tjänsteavbrott. De tillgängliga rapporterna fastställer dock inte slutgiltigt om enbart CVE-2026-88779 möjliggjorde den rapporterade körningen av skadlig kod.
Samtidigt uppger watchTowr Labs att företaget har återskapat sårbarheten efter att ha undersökt aktivitet i honeypots. Företaget har inte publicerat några tekniska detaljer.
CISA sätter den 7 oktober som deadline för åtgärder
CISA lade till CVE-2026-88779 i sin katalog över Known Exploited Vulnerabilities den 4 oktober. Myndigheten satte den 7 oktober som deadline för åtgärder för federala civila myndigheter inom den verkställande grenen.
Listningen understryker hur brådskande det är att åtgärda sårbarheten. För drabbade organisationer är den viktigaste skillnaden att tidigare NetScaler-patchar inte täcker denna nyligen offentliggjorda sårbarhet.
Citrix nuvarande vägledning kräver ytterligare en uppgradering för installationer som uppfyller kraven för SAML-konfigurationen.
0 svar till ”Citrix åtgärdar NetScaler-zero-day medan attacker stör SAML-installationer”