SAML-bedingter Memory-Overflow in NetScaler — CVE-2026-88779 in KEV (Frist: 7. Oktober)
Citrix hat einen Fehler bei der Begrenzung von Memory-Buffern in NetScaler ADC / Gateway offengelegt (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix gibt an, gezielte Angriffe auf nicht geminderte Bereitstellungen beobachtet zu haben, die zu einer Dienstverhinderung führen können. Der KEV-Eintrag der CISA belegt die Ausnutzung der Schwachstelle, und die Kurzbeschreibung sagt, der Fehler könne eine Dienstverhinderung ermöglichen. Keine der beiden Quellen bestätigt, dass betroffene Bereitstellungen tatsächlich ausgefallen sind. Die CISA hat den Eintrag am 4. Oktober hinzugefügt, Frist für Bundesbehörden ist der 7. Oktober. Zusammen mit CVE-2026-88771 und CVE-2026-88772 (beide am 27. September hinzugefügt) ist es der dritte NetScaler-KEV-Eintrag innerhalb von zwei Wochen, nicht der dritte Eintrag des Produkts insgesamt (frühere Einträge umfassen CVE-2023-4966). Global-Deny-List-Signaturen (v24 oder neuer) sind die vorübergehende Minderung, die Korrektur liegt in 14.1-73.41 / 13.1-64.28 oder neuer.
Dieser Artikel wurde maschinell übersetzt.
Am 3. Oktober (Pacific Daylight Time) veröffentlichte Citrix CVE-2026-88779 für NetScaler ADC (ehemals Citrix ADC) und NetScaler Gateway (ehemals Citrix Gateway) im Sicherheitsbulletin CTX697174 und in einer Community-Erklärung. Es wird als CWE-119 (Unzureichende Einschränkung von Operationen innerhalb der Grenzen eines Memory-Buffers) klassifiziert, mit einem CVSS v4.0-Basiswert von 8.7 (CNA: NetScaler). Das Problem betrifft von Kunden verwaltete NetScaler-Bereitstellungen, die SAML-Authentifizierung zusammen mit Gateway- oder AAA-Funktionalität verwenden. Betroffene Versionen sind ADC und Gateway 14.1 vor 14.1-73.41 und 13.1 vor 13.1-64.28, ADC FIPS vor 14.1-73.41 FIPS sowie ADC FIPS und NDcPP vor 13.1-37.282 (Citrix CTX697174; NVD veröffentlicht am 4. Oktober 2026). Citrix gibt an, gezielte Angriffe gegen nicht geminderte Bereitstellungen beobachtet zu haben, die zu einer Dienstverhinderung führen können. Die Kurzbeschreibung im KEV der CISA sagt, der Fehler könne eine Dienstverhinderung ermöglichen, und der Eintrag belegt die Ausnutzung der Schwachstelle. Keine der beiden Quellen bestätigt, dass betroffene Bereitstellungen tatsächlich ausgefallen sind. Die Analyse von Citrix hat keine Auswirkung auf die Integrität von Kundendaten festgestellt.
CISA fügte die Schwachstelle am 4. Oktober in seinen KEV-Katalog ein und gab den zivilen Bundesbehörden bis zum 7. Oktober Zeit zur Reaktion (BOD 26-04, drei Tage nach der Aufnahme). Die KEV-Hinweise verlangen die Anwendung von vom Hersteller vorgeschlagenen Minderungen gemäß BOD 26-04 und den Forensik-Triage-Anforderungen von CISA; die forensische Triage ist mit Yes markiert und der bekannte Einsatz in Ransomware-Kampagnen ist Unknown (CISA KEV-Katalog 2026.10.04, insgesamt 1.734 Einträge). Citrix schlägt einen konfigurationsbasierten Selbsttest für die Voraussetzungen vor: Eine Bereitstellung erfüllt diese, wenn sie als SAML-SP konfiguriert ist (add authentication samlAction) oder als SAML-IdP (add authentication samlIdPProfile). Die von Citrix ausgelieferten Global Deny List-Signaturen (v24 oder neuer) sind auf 14.1-73.37 oder neuer bis vor 14.1-73.41 sowie auf 13.1-64.23 oder neuer bis vor 13.1-64.28 verfügbar, vorausgesetzt, das virtuelle Patching in NetScaler Console ist aktiviert und eine Encrypted Version ist in show appfw signatures sichtbar.
Analyse (getrennt von der Berichterstattung): Die beiden am 27. September hinzugefügten KEV-Einträge sind nicht an SAML gebunden. CTX697096 sagt, CVE-2026-88771 (unzureichende Eingabevalidierung, die einem nicht authentifizierten Angreifer die Ausführung beliebiger Befehle ermöglichen könnte) betrifft alle Bereitstellungen von NetScaler ADC und NetScaler Gateway, einschließlich der Standardkonfiguration, ohne dass eine zusätzliche Funktion erforderlich ist. CTX697096 sagt, CVE-2026-88772 (ein Memory-Overflow, der zu entfernter Codeausführung oder Dienstverhinderung führen kann) erfordert DTLS, das auf einem VPN vServer standardmäßig aktiviert ist. Zusammen mit CVE-2026-88779, hinzugefügt am 4. Oktober, sind das drei NetScaler-KEV-Einträge innerhalb von zwei Wochen. Der Katalog enthält bereits frühere NetScaler-Einträge, darunter CVE-2023-4966 (hinzugefügt am 18. Oktober 2023); es ist also nicht der dritte Eintrag des Produkts insgesamt. Citrix sagt nicht, ob diese drei eine gemeinsame Ursache haben. Von Citrix verwaltete Cloud-Dienste liegen außerhalb des Bulletins für vom Kunden verwaltete Bereitstellungen.
Implikationen für Verteidiger: (1) Wenn Ihre Umgebung eine SAML-SP- oder IdP-Konfiguration hat, überprüfen Sie die bereitgestellte Version sofort gegen CTX697174 und aktualisieren Sie 14.1 auf 14.1-73.41 oder neuer, 13.1 auf 13.1-64.28 oder neuer sowie FIPS / NDcPP auf 14.1-73.41 FIPS / 13.1-37.282 oder neuer; Umgebungen, die bereits für CTX697096 (das Bulletin für CVE-2026-88771 bis CVE-2026-88778) aktualisiert wurden, benötigen eine weitere Aktualisierung, wenn sie die Voraussetzungen erfüllen. (2) Wenden Sie bis zur Aktualisierung als vorübergehende Minderung die Global-Deny-List-Signaturen (v24 oder neuer) an und prüfen Sie die Zähler mit stat denylist global AAA_REQUEST. Das Prüfverfahren von Citrix sagt, ein Wert größer als null zeige, dass die Regeln wirken. (3) Die KEV-Hinweise setzen forensicTriage auf Yes und verlangen forensische Triage nach BOD 26-04. Für diese Schwachstelle ist die Voraussetzung in CTX697174 ein SAML-SP (add authentication samlAction) oder ein SAML-IdP (add authentication samlIdPProfile). CVE-2026-88771 und CVE-2026-88772 haben andere Voraussetzungen in CTX697096.