Η Citrix διορθώνει κρίσιμη ευπάθεια SAML στο NetScaler που μπορεί να οδηγήσει σε εκτέλεση κώδικα

Η Citrix δημοσίευσε δελτίο ασφαλείας για την CVE-2026-107406, μια ευπάθεια στα NetScaler ADC και NetScaler Gateway. Το δελτίο την περιγράφει ως υπερχείλιση μνήμης που μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα ή άρνηση υπηρεσίας, την κατατάσσει στην CWE-119, μια κατηγορία αδυναμιών των buffer μνήμης, και της αποδίδει βασική βαθμολογία CVSS v4.0 ίση με 9,5. Το δελτίο αφορά μόνο συσκευές που λειτουργούν οι ίδιοι οι πελάτες· η Cloud Software Group, η εταιρεία πίσω από τη Citrix, αναφέρει ότι εφαρμόζει τις ενημερώσεις στις υπηρεσίες cloud και στο Adaptive Authentication που διαχειρίζεται η ίδια η Citrix.

Μια συσκευή είναι εκτεθειμένη μόνο όταν λειτουργεί ως πάροχος υπηρεσιών SAML (SP) ή πάροχος ταυτότητας SAML (IdP), και ποιος ρόλος έχει σημασία εξαρτάται από το build. Σε builds παλαιότερα από τα 14.1-73.37 και 13.1-64.23, καθώς και σε builds FIPS παλαιότερα από τα 14.1-73.37 FIPS και 13.1-37.279, επηρεάζονται και οι δύο ρόλοι. Στα νεότερα builds 14.1-73.37 έως 14.1-73.41 (συμπεριλαμβανομένων των αντίστοιχων 14.1-FIPS), 13.1-64.23 έως 13.1-64.28 και στα builds 13.1-FIPS/NDcPP 13.1-37.279 έως 13.1-37.282, ευάλωτος είναι μόνο ο ρόλος του παρόχου ταυτότητας, σύμφωνα με τη Citrix.

Η Citrix απαριθμεί τις εξής διορθωμένες εκδόσεις: 14.1-73.46 ή νεότερη για τον κλάδο 14.1, 13.1-64.29 ή νεότερη εντός του 13.1, 14.1-73.46 FIPS ή νεότερη για το 14.1-FIPS και 13.1.37.283 ή νεότερη για τις εκδόσεις 13.1-FIPS και 13.1-NDcPP. Οι εγκαταστάσεις NetScaler που αποτελούν μέρος υλοποιήσεων Secure Private Access Hybrid επηρεάζονται επίσης και χρειάζονται την ίδια αναβάθμιση. Για να διαπιστώσουν αν μια συσκευή χρησιμοποιεί κάποιον από τους δύο ρόλους SAML, η Citrix αναφέρει ότι οι διαχειριστές μπορούν να αναζητήσουν στη διαμόρφωσή της εγγραφές που ταιριάζουν με το add authentication samlAction (πάροχος υπηρεσιών) ή το add authentication samlIdPProfile (πάροχος ταυτότητας).

Σχετικά με την εκμετάλλευση, η Citrix δήλωσε σε ανακοίνωση που παραθέτει το BleepingComputer: «Κατά τη δημοσίευση του δελτίου, η Citrix δεν γνωρίζει καμία μη μετριασμένη εκμετάλλευση αυτής της ευπάθειας». Το The Register σημειώνει ότι η Citrix δεν διευκρίνισε αν η ευπάθεια είχε χρησιμοποιηθεί ως zero-day πριν από τη δημοσιοποίησή της. Το δελτίο αναγνωρίζει τη συμβολή ερευνητών της XOR Team της JPMorgan Chase. Το BleepingComputer αναφέρει ότι το Shadowserver παρακολουθεί περισσότερες από 21.000 διευθύνσεις IP με αποτυπώματα NetScaler στο διαδίκτυο, σχεδόν 20.000 από αυτές συσκευές ADC και λίγο πάνω από 1.500 εγκαταστάσεις Gateway, αλλά δεν είναι γνωστό πόσες είναι honeypots, έχουν ήδη επιδιορθωθεί ή είναι ρυθμισμένες με ευάλωτο τρόπο.

Η διόρθωση έρχεται μετά από αρκετές ευπάθειες του NetScaler που χρησιμοποίησαν επιτιθέμενοι φέτος. Νωρίτερα αυτόν τον μήνα, η Citrix κυκλοφόρησε επείγουσες ενημερώσεις για την CVE-2026-88779, μια ευπάθεια zero-day άρνησης υπηρεσίας που, όπως λέει το The Register, έχει βαθμολογία 8,7 και για την οποία ερευνητές και διαχειριστές ανέφεραν αργότερα ότι επέτρεπε επίσης εκτέλεση κώδικα, σύμφωνα με το BleepingComputer. Κατά το The Register, τόσο εκείνη όσο και η νέα ευπάθεια αφορούν υπερχειλίσεις μνήμης σε διαμορφώσεις SAML. Τον Σεπτέμβριο η Citrix διόρθωσε δύο ευπάθειες zero-day που είχαν τύχει εκμετάλλευσης, τις CVE-2026-88771 και CVE-2026-88772· ερευνητές της Google ανέφεραν ότι μια εκστρατεία που εκμεταλλευόταν την CVE-2026-88772 βρισκόταν σε εξέλιξη τουλάχιστον από τις αρχές Σεπτεμβρίου. Το BleepingComputer προσθέτει ότι από τον Νοέμβριο του 2021 η CISA έχει καταγράψει 27 ευπάθειες της Citrix ως ενεργά αξιοποιούμενες, επτά από αυτές σε επιθέσεις ransomware.