Citrix dicht kritiek SAML-lek in NetScaler dat tot code-uitvoering kan leiden

Citrix heeft een beveiligingsbulletin gepubliceerd voor CVE-2026-107406, een kwetsbaarheid in NetScaler ADC en NetScaler Gateway. Het bulletin beschrijft die als een geheugenoverloop (memory overflow) die kan leiden tot het op afstand uitvoeren van code (remote code execution) of denial of service, deelt haar in onder CWE-119, een klasse van zwakheden in geheugenbuffers, en kent haar een CVSS v4.0-basisscore van 9,5 toe. Het bulletin betreft alleen appliances die klanten zelf beheren; Cloud Software Group, het bedrijf achter Citrix, zegt de updates zelf door te voeren voor de clouddiensten en Adaptive Authentication die Citrix zelf beheert.

Een appliance is alleen kwetsbaar wanneer die optreedt als SAML-serviceprovider (SP) of SAML-identityprovider (IdP), en welke rol ertoe doet, hangt af van de build. Op builds ouder dan 14.1-73.37 en 13.1-64.23, en op FIPS-builds ouder dan 14.1-73.37 FIPS en 13.1-37.279, zijn beide rollen getroffen. Op de nieuwere builds 14.1-73.37 tot en met 14.1-73.41 (inclusief de 14.1-FIPS-equivalenten), 13.1-64.23 tot en met 13.1-64.28 en de 13.1-FIPS/NDcPP-builds 13.1-37.279 tot en met 13.1-37.282 is volgens Citrix alleen de rol van identityprovider kwetsbaar.

Citrix noemt de volgende gecorrigeerde releases: 14.1-73.46 of later voor de 14.1-tak, 13.1-64.29 of later binnen 13.1, 14.1-73.46 FIPS of later voor 14.1-FIPS, en 13.1.37.283 of later voor de edities 13.1-FIPS en 13.1-NDcPP. NetScaler-instanties die deel uitmaken van Secure Private Access Hybrid-implementaties zijn eveneens getroffen en hebben dezelfde upgrade nodig. Om na te gaan of een apparaat een van beide SAML-rollen gebruikt, kunnen beheerders volgens Citrix in de configuratie zoeken naar regels die overeenkomen met add authentication samlAction (serviceprovider) of add authentication samlIdPProfile (identityprovider).

Over misbruik zei Citrix in een verklaring die BleepingComputer aanhaalt: “Op het moment van publicatie van het bulletin is Citrix niet op de hoogte van ongemitigeerde exploits van deze kwetsbaarheid”. The Register merkt op dat Citrix niet heeft gezegd of het lek vóór de bekendmaking als zero-day is gebruikt. Het bulletin noemt onderzoekers van het XOR Team van JPMorgan Chase als ontdekkers. Volgens BleepingComputer volgt Shadowserver op internet meer dan 21.000 IP-adressen met NetScaler-vingerafdrukken, waarvan bijna 20.000 ADC-appliances en iets meer dan 1.500 Gateway-instanties, maar het is niet bekend hoeveel daarvan honeypots zijn, al gepatcht zijn of op een kwetsbare manier zijn ingericht.

De oplossing volgt op meerdere NetScaler-lekken die aanvallers dit jaar hebben misbruikt. Eerder deze maand bracht Citrix noodupdates uit voor CVE-2026-88779, een denial-of-service-zero-day die volgens The Register een score van 8,7 heeft en waarvan onderzoekers en beheerders later zeiden dat die ook code-uitvoering mogelijk maakte, aldus BleepingComputer. Volgens The Register gaat het bij dat lek en het nieuwe lek allebei om geheugenoverlopen in SAML-configuraties. In september dichtte Citrix twee misbruikte zero-days, CVE-2026-88771 en CVE-2026-88772; onderzoekers van Google zeiden dat een campagne die CVE-2026-88772 misbruikte al sinds ten minste begin september liep. BleepingComputer voegt eraan toe dat CISA sinds november 2021 27 Citrix-kwetsbaarheden als actief misbruikt heeft aangemerkt, waarvan zeven bij ransomware-aanvallen.