NetScaler ADC/Gateway SAML 記憶體溢位:不需帳號就能讓設備當機,已遭實際利用

影響範圍

NetScaler ADC 與 NetScaler Gateway 是很多公司放在內部應用程式和遠端連線前面的網路設備。Citrix 的公告只涵蓋客戶自行管理的設備;Citrix 代管的雲端服務由 Citrix 自己更新。

前提條件: Citrix 部落格說,這個問題和「使用 SAML 驗證並搭配 Gateway 或 AAA(認證、授權與記帳)功能」的 NetScaler 部署有關;部署成 Gateway 或 AAA 虛擬伺服器的客戶,要檢查設定裡有沒有 SAML 驗證動作。判斷方式是看設定中有沒有下列任一項:add authentication samlAction(設備設定為 SAML SP)或 add authentication samlIdPProfile(設備設定為 SAML IdP)。Citrix 公告 CTX697174 把前提寫成設備設定為 SAML SP 或 SAML IdP,檢查的設定項目相同。

14.1-FIPS 的版本說法不一致: Citrix 寫的是「14.1-73.41 FIPS 以前」受影響,也就是 14.1-73.41 FIPS 本身已修補;NVD 的 CPE 資料卻把到 14.1-73.41(含)都標為受影響。以 Citrix 公告為準時,升級到 14.1-73.41 FIPS 以上即可,但建議留意 NVD 是否更新。

原理

SAML 是一種單一登入標準:IdP 負責確認「你是誰」,SP 接受 IdP 的判斷讓你登入。設定了 SAML 的 NetScaler 會處理來自網路的 SAML 相關請求。

Citrix 把這個漏洞描述為「記憶體溢位導致阻斷服務」,歸類為 CWE-119(在記憶體緩衝區範圍外操作)。白話說,程式處理某些輸入時讀寫了超出它該用的記憶體,讓設備當機。我們查閱的來源沒有提供漏洞的技術細節。

• 不需要帳號: CVSS 向量顯示攻擊從網路發動、複雜度低、不需權限、不需使用者互動(AV:N/AC:L/PR:N/UI:N);watchTowr 也說攻擊者不需要有效帳號就能讓正常使用者斷線。
• 影響: 據媒體引述 Citrix,如果反覆觸發,服務可能一直無法使用;Citrix 也表示目前沒有發現客戶資料完整性受影響。
• 能不能執行程式碼,說法不一: BleepingComputer 報導有管理員與研究者看到的活動顯示可能也能遠端執行程式碼,eSentire 稱這類報導未經證實;據 BleepingComputer 報導,watchTowr 表示已重現這個漏洞,但尚未公開技術細節。

以下是 CWE-119 這類弱點的一般示例;CVE-2026-88779 的實際成因尚未公開:

// 依照外部輸入宣稱的長度複製資料,沒有檢查目的緩衝區夠不夠大
memcpy(buf, input, input_len);

修好的思路:

// 先確認長度在緩衝區範圍內,超過就拒絕這個請求
if (input_len > sizeof(buf)) {
    return REJECT;
}
memcpy(buf, input, input_len);

評分差異: Citrix 公告給 CVSS 4.0 基本分數 8.7,等級「高」;NVD 給 CVSS 3.1 分數 7.5,只影響可用性(C:N/I:N/A:H)。兩者用的 CVSS 版本不同,都認定只影響可用性。本頁 severity 欄位的 7.5 採用 NVD 的 CVSS 3.1 評分(NVD API 中 nvd@nist.gov 標為 Primary 的評分);CNA(Citrix)在 CVE 紀錄與公告中給的是 CVSS 4.0 8.7(CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N)。兩個分數都正確,只是版本與評分者不同。

時間軸

延伸閱讀

• 是否為零時差漏洞: The Hacker News 報導這個漏洞在目標式零時差攻擊中遭利用,也就是在修補版推出前就被攻擊;媒體引述 Citrix 表示已觀察到針對未緩解部署的目標式攻擊;加拿大網路安全中心表示 Citrix 指出它已遭實際利用。
• 誘捕主機上的惡意程式: 研究者 Kevin Beaumont 回報,他一台已修補的誘捕主機正在執行下載來的惡意程式,但無法確定是本漏洞造成的。另有管理員的紀錄顯示利用嘗試與相關當機,但無法確認指令是否真的執行成功。
• 勒索軟體: KEV 把是否被勒索軟體攻擊利用標為「未知」。
• 漏洞何時引入: 來源沒有說明。
• 偵測規則: 據 Help Net Security,一位 Geico 的威脅獵捕人員分享了辨識探測與利用嘗試的 SIGMA 規則(非官方)。
• 致謝: 依 Citrix 公告 CTX697174 目前的 Acknowledgement(2026-10-12 讀取),Cloud Software Group 感謝 JPMorgan Chase、Bishop Fox 與 watchTowr。(watchTowr 的 FAQ 只寫了 Bishop Fox 與 watchTowr。)
• 相關弱點類型:CWE-119。