Citrix har lansert nødoppdateringer for en NetScaler-zero-day som angripere har utnyttet mot enheter som bruker SAML-autentisering. Sårbarheten, som spores som CVE-2026-88779, kan krasje berørte systemer og avbryte tilgangen til tjenester.
Feilen i minnebufferen påvirker NetScaler ADC- og NetScaler Gateway-implementeringer som bruker SAML-autentisering med Gateway- eller AAA-funksjonalitet. Den har en CVSS-alvorlighetsgrad på 8,7.
Samtidig undersøker forskere bevis på mulig ekstern kjøring av kode. Citrix har bekreftet tjenestenektangrep, men den bredere virkningen er fortsatt under etterforskning.
Gjentatte angrep kan holde tjenester utilgjengelige
Ifølge Citrix har angripere rettet seg mot implementeringer som mangler beskyttelse mot sårbarheten. Gjentatt utnyttelse kan føre til at berørte tjenester forblir utilgjengelige.
Selskapet sier at analysen har identifisert et tilgjengelighetsproblem uten å finne noen påvirkning på integriteten til kundedata. Denne vurderingen avklarer imidlertid ikke forskernes separate bekymringer rundt mulig kjøring av kode.
Administratorer rapporterte først uventede omstarter på enheter som allerede hadde mottatt de tidligere sikkerhetsoppdateringene. Noen beskrev lignende feil selv etter at systemene var bygget opp på nytt fra nye avbildninger.
Flere rapporter identifiserte gjentatte krasj i autentiseringsprosessen nsaaad. Til slutt nådde NetScalers overvåkingsprosess Pitboss grensen for omstarter og startet enheten på nytt.
Nye oppdateringer erstatter tidligere sikkerhetsrettelser
Citrix lanserte følgende versjoner for å håndtere NetScaler-zero-day-sårbarheten:
- NetScaler ADC og Gateway 14.1: 14.1-73.41
- NetScaler ADC og Gateway 13.1: 13.1-64.28
- NetScaler 14.1 FIPS-implementeringer: 14.1-73.41 FIPS
- NetScaler ADC 13.1 FIPS- og NDcPP-implementeringer: 13.1-37.282
Organisasjoner som installerte tidligere oppdateringer, må oppgradere på nytt dersom implementeringene deres oppfyller kravene til den berørte konfigurasjonen.
Administratorer kan se etter SAML-tjenesteleverandørkonfigurasjoner som inneholder add authentication samlAction. Alternativt kan SAML-identitetsleverandørkonfigurasjoner inneholde add authentication samlIdPProfile.
Citrix tilbyr også Global Deny Lists for å blokkere kjente skadelige IP-adresser. Selskapet anbefaler likevel å installere de nye oppdateringene så snart som mulig.
Forskere undersøker mulig kjøring av kode
En administrator som undersøkte krasj, fant manipulerte brukernavn for autentisering som inneholdt kommandoer utformet for å laste ned og kjøre en ekstern nyttelast.
Disse forespørslene dukket opp umiddelbart før tre bekreftede sekvenser med krasj i autentiseringsprosessen. De var også rettet mot flere SAML-autentiseringsfaktorer.
Administratoren understreket imidlertid at loggene viste forsøk på utnyttelse og tilhørende krasj. De fastslo ikke at enheten faktisk klarte å kjøre kommandoene.
Separat rapporterte sikkerhetsforsker Kevin Beaumont krasj på oppdaterte NetScaler 13.1- og 14.1-honeypots som mottok forespørsler fra flere IP-adresser. Han sa senere at én honeypot kjørte en nedlastet binærfil med skadevare.
Denne observasjonen skaper bekymring for en påvirkning som går utover tjenesteavbrudd. De tilgjengelige rapportene fastslår imidlertid ikke endelig om CVE-2026-88779 alene muliggjorde den rapporterte kjøringen av skadevare.
Samtidig sier watchTowr Labs at selskapet har reprodusert sårbarheten etter å ha undersøkt honeypot-aktivitet. Selskapet har ikke offentliggjort tekniske detaljer.
CISA setter 7. oktober som frist for tiltak
CISA la til CVE-2026-88779 i sin katalog over Known Exploited Vulnerabilities 4. oktober. Byrået satte 7. oktober som frist for tiltak for føderale sivile etater i den utøvende grenen.
Oppføringen understreker hvor viktig det er å håndtere sårbarheten raskt. For berørte organisasjoner er den viktigste forskjellen at tidligere NetScaler-oppdateringer ikke dekker denne nylig offentliggjorte sårbarheten.
Citrix’ nåværende veiledning krever en ny oppgradering for implementeringer som oppfyller kravene til SAML-konfigurasjonen.
0 responses to “Citrix retter NetScaler-zero-day mens angrep forstyrrer SAML-implementeringer”