Leresan memori sing kaitan karo SAML ing NetScaler — CVE-2026-88779 mlebu KEV (watesan 7 Oktober)
Citrix ngumumake cacat watesan buffer memori ing NetScaler ADC / Gateway (CVE-2026-88779, CVSS v4.0 8.7, CWE-119). Citrix ngandika yen wis ngamati serangan sing ditargetake ing deployment sing durung dimitigasi, sing bisa nyebabake denial of service. Entri KEV CISA netepake eksploitasi kerentanan iki, lan katrangan cendhake ngandika cacat kasebut bisa ngidini denial of service. Ora ana sumber sing ngonfirmasi yen deployment sing kena pengaruh bener-bener mandheg. CISA nambahake ing 4 Oktober, watesan federal 7 Oktober. Bebarengan karo CVE-2026-88771 lan CVE-2026-88772 (loro-lorone ditambah 27 September), iki entri KEV NetScaler katelu sing ditambah ing rong minggu, dudu entri katelu produk sakabehe (entri sadurunge kalebu CVE-2023-4966). Tandha Global Deny List (v24 utawa luwih anyar) yaiku mitigasi sementara, lan perbaikan ana ing 14.1-73.41 / 13.1-64.28 utawa luwih anyar.
Artikel iki dijarwakake dening mesin.
Ing 3 Oktober (Waktu Dina Pasifik), Citrix nglebokake CVE-2026-88779 kanggo NetScaler ADC (dulu Citrix ADC) lan NetScaler Gateway (dulu Citrix Gateway) ing buletin keamanan CTX697174 lan artikel penjelasan komunitas. Iki diklasifikasikake minangka CWE-119 (Pembatasan Operasi sing Ora Cocog ing Watesan Buffer Memori) kanthi skor dasar CVSS v4.0 8.7 (CNA: NetScaler). Masalah iki ngaruh marang deployment NetScaler sing dikelola pelanggan sing nggunakake autentikasi SAML bebarengan karo fungsi Gateway utawa AAA. Versi sing kena pengaruh yaiku ADC lan Gateway 14.1 sadurunge 14.1-73.41 lan 13.1 sadurunge 13.1-64.28, ADC FIPS sadurunge 14.1-73.41 FIPS, lan ADC FIPS lan NDcPP sadurunge 13.1-37.282 (Citrix CTX697174; NVD diterbitake 4 Oktober 2026). Citrix ngandika yen wis ngamati serangan sing ditargetake ing deployment sing durung dimitigasi, sing bisa nyebabake denial of service. Katrangan cendhak KEV CISA ngandika cacat kasebut bisa ngidini denial of service, lan entri kasebut netepake eksploitasi kerentanan. Ora ana sumber sing ngonfirmasi yen deployment sing kena pengaruh bener-bener mandheg. Analisa Citrix ora nemokake dampak marang integritas data pelanggan.
CISA nambahake kerentanan menyang katalog KEV ing 4 Oktober, menehi wektu kanggo agensi sipil federal nganti 7 Oktober kanggo nanggapi (BOD 26-04, telung dina saka panyebutan). Cathetan KEV mbutuhake aplikasi mitigasi sing ditunjuk vendor miturut BOD 26-04 lan Persyaratan Forensics Triage saka CISA; triase forensik ditandhani Yes lan panggunaan kampanye ransomware sing dikenal yaiku Unknown (katalog CISA KEV 2026.10.04, total 1,734 entri). Citrix ngusulake pemeriksaan mandiri konfigurasi kanggo prasyarat: deployment memenuhi yen dikonfigurasi minangka SAML SP (tambah autentikasi samlAction) utawa minangka SAML IdP (tambah autentikasi samlIdPProfile). Tandha Global Deny List sing dikirim Citrix (v24 utawa luwih anyar) kasedhiya ing 14.1-73.37 utawa luwih anyar nganti sadurunge 14.1-73.41, lan ing 13.1-64.23 utawa luwih anyar nganti sadurunge 13.1-64.28, kanthi virtual patching NetScaler Console diaktifake lan Encrypted Version katon ing show appfw signatures.
Analisa (dipisah saka laporan): rong entri KEV sing ditambah ing 27 September ora gumantung ing SAML. CTX697096 ngandika CVE-2026-88771 (validasi input sing ora cocog sing bisa ngidini penyerang sing ora terautentikasi nglakokake perintah sewenang-wenang) mengaruhi kabeh deployment NetScaler ADC lan NetScaler Gateway, kalebu konfigurasi gawan, tanpa fitur tambahan. CTX697096 ngandika CVE-2026-88772 (leresan memori sing bisa nyebabake eksekusi kode jarak jauh utawa denial of service) mbutuhake DTLS, sing diaktifake kanthi gawan ing VPN vServer. Bebarengan karo CVE-2026-88779 sing ditambah ing 4 Oktober, iku telung entri KEV NetScaler sing ditambah ing rong minggu. Katalog wis nduwe entri NetScaler sadurunge, kalebu CVE-2023-4966 (ditambah 18 Oktober 2023), dadi iki dudu entri katelu produk sakabehe. Citrix ora kandha apa telu iki duwe sebab akar sing padha. Layanan awan sing dikelola Citrix ana ing njaba buletin kanggo deployment sing dikelola pelanggan.
Implikasi kanggo para pembela: (1) yen lingkungan sampeyan duwe konfigurasi SAML SP utawa IdP, verifikasi versi sing dideploy marang CTX697174 kanthi langsung lan upgrade 14.1 menyang 14.1-73.41 utawa luwih anyar, 13.1 menyang 13.1-64.28 utawa luwih anyar, lan FIPS / NDcPP menyang 14.1-73.41 FIPS / 13.1-37.282 utawa luwih anyar; lingkungan sing wis upgrade kanggo CTX697096 (buletin CVE-2026-88771 nganti CVE-2026-88778) isih butuh upgrade liyane yen memenuhi prasyarat. (2) Minangka mitigasi sementara nganti upgrade, terapake tandha Global Deny List (v24 utawa luwih anyar) lan priksa counter nganggo stat denylist global AAA_REQUEST. Prosedur verifikasi Citrix ngandika nilai sing luwih gedhe tinimbang nol nuduhake yen aturan lagi mlaku. (3) Cathetan KEV nyetel forensicTriage dadi Yes lan njaluk triase forensik miturut BOD 26-04. Kanggo kerentanan iki, prasyarat CTX697174 yaiku SAML SP (add authentication samlAction) utawa SAML IdP (add authentication samlIdPProfile). CVE-2026-88771 lan CVE-2026-88772 duwe prasyarat sing beda ing CTX697096.