SAML پر مشروط NetScaler میموری اوورفلو — CVE-2026-88779 KEV میں شامل (میعاد 7 اکتوبر)
Citrix نے NetScaler ADC / Gateway میں میموری بفر باؤنڈز کی خامی (CVE-2026-88779، CVSS v4.0 8.7، CWE-119) بیان کی۔ Citrix کا کہنا ہے کہ اس نے غیر متاثرہ ڈیپلائمنٹس پر ہدف بنائے گئے حملے دیکھے جو ڈینل آف سروس کا باعث بن سکتے ہیں۔ CISA کی KEV فہرست اس کمزوری کے استحصال کو قائم کرتی ہے، اور اس کی مختصر وضاحت کہتی ہے کہ خامی ڈینل آف سروس کی اجازت دے سکتی ہے۔ دونوں میں سے کوئی ماخذ یہ تصدیق نہیں کرتا کہ متاثرہ ڈیپلائمنٹس واقعی بند ہو گئیں۔ CISA نے اسے 4 اکتوبر کو شامل کیا، وفاقی میعاد 7 اکتوبر ہے۔ 27 ستمبر کو شامل CVE-2026-88771 اور CVE-2026-88772 کے ساتھ، یہ دو ہفتوں میں شامل ہونے والی تیسری NetScaler KEV اندراج ہے، اس پروڈکٹ کی کل تیسری اندراج نہیں (پہلے کی اندراجات میں CVE-2023-4966 شامل ہے)۔ Global Deny List سگنیچرز (v24 یا بعد) عارضی تخفیف ہیں، اور ٹک 14.1-73.41 / 13.1-64.28 یا بعد میں ہے۔
یہ مضمون مشین سے ترجمہ کیا گیا ہے۔
3 اکتوبر (پیسفک ڈے لائٹ ٹائم) کو، Citrix نے سیکیورٹی بلیٹن CTX697174 اور کمیونٹی کے ایک وضاحتی مضمون میں NetScaler ADC (پہلے Citrix ADC) اور NetScaler Gateway (پہلے Citrix Gateway) کے لیے CVE-2026-88779 شائع کیا۔ اسے CWE-119 (میموری بفر کے باؤنڈز کے اندر آپریشنز کی ناکافی پابندی) کے طور پر درجہ بندی کیا گیا ہے، جس کا CVSS v4.0 بیس اسکور 8.7 ہے (CNA: NetScaler)۔ یہ مسئلہ ان کسٹمر منیجڈ NetScaler ڈیپلائمنٹس کو متاثر کرتا ہے جو SAML تصدیق کو Gateway یا AAA فنکشنلٹی کے ساتھ استعمال کرتے ہیں۔ متاثرہ ورژنز ADC اور Gateway 14.1 (14.1-73.41 سے پہلے) اور 13.1 (13.1-64.28 سے پہلے)، ADC FIPS (14.1-73.41 FIPS سے پہلے)، اور ADC FIPS اور NDcPP (13.1-37.282 سے پہلے) ہیں (Citrix CTX697174؛ NVD نے 4 اکتوبر 2026 کو شائع کیا)۔ Citrix کا کہنا ہے کہ اس نے غیر متاثرہ ڈیپلائمنٹس پر ہدف بنائے گئے حملے دیکھے ہیں جو ڈینل آف سروس کا باعث بن سکتے ہیں۔ CISA کے KEV کی مختصر وضاحت کہتی ہے کہ خامی ڈینل آف سروس کی اجازت دے سکتی ہے، اور فہرست میں شامل ہونا اس کمزوری کے استحصال کو قائم کرتا ہے۔ کوئی ماخذ یہ تصدیق نہیں کرتا کہ متاثرہ ڈیپلائمنٹس واقعی بند ہو گئیں۔ Citrix کے تجزیے نے کسٹمر ڈیٹا کی یکسانیت پر اثر نہیں دیکھا۔
CISA نے 4 اکتوبر کو اس کمزوری کو اپنے KEV کیٹلاگ میں شامل کیا، جس سے وفاقی شہری اداروں کو 7 اکتوبر تک جواب دینے کا وقت ملا (BOD 26-04، درجہ بندی سے تین دن بعد)۔ KEV نوٹس میں BOD 26-04 اور CISA کے Forensics Triage Requirements کے مطابق وینڈر کی ہدایت کے مطابق تخفیفی اقدامات نافذ کرنے کی ضرورت ہے؛ forensic triage کو Yes اور معروف رینسوم ویئر مہمات کے استعمال کو Unknown نشان زد کیا گیا ہے (CISA KEV catalog 2026.10.04، کل 1,734 اندراجات)۔ Citrix نے پیش شرطوں کے لیے ایک کنفیگریشن سیل چیک کا تجویز کیا ہے: اگر ڈیپلائمنٹ کو SAML SP (add authentication samlAction) یا SAML IdP (add authentication samlIdPProfile) کے طور پر کنفیگر کیا گیا ہو، تو وہ شرائط پوری کرتا ہے۔ Citrix کے ذریعے فراہم کردہ Global Deny List سگنیچرز (v24 یا بعد) 14.1-73.37 یا بعد سے 14.1-73.41 سے پہلے تک، اور 13.1-64.23 یا بعد سے 13.1-64.28 سے پہلے تک دستیاب ہیں، جہاں NetScaler Console وچچول پچنگ فعال ہو اور show appfw signatures میں Encrypted Version نظر آئے۔
تجزیہ (رپورٹنگ سے الگ): 27 ستمبر کو شامل کی گئی دو KEV اندراجات SAML پر مشروط نہیں ہیں۔ CTX697096 کہتا ہے کہ CVE-2026-88771 (نپٹ ان پٹ ویلیڈیشن جو غیر تصدیق شدہ حملہ آور کو کوئی بھی کمانڈ چلانے دے سکتی ہے) تمام NetScaler ADC اور NetScaler Gateway ڈیپلائمنٹس کو متاثر کرتا ہے، بشمول ڈیفالٹ کنفیگریشن، اور کوئی اضافی فیچر درکار نہیں۔ CTX697096 کہتا ہے کہ CVE-2026-88772 (میموری اوورفلو جو ریموٹ کوڈ ایکسیکیشن یا ڈینل آف سروس کا باعث بن سکتا ہے) کے لیے DTLS درکار ہے، جو VPN vServer پر ڈیفالٹ طور پر فعال ہے۔ 4 اکتوبر کو شامل CVE-2026-88779 کے ساتھ، یہ دو ہفتوں میں شامل ہونے والی تین NetScaler KEV اندراجات ہیں۔ کیٹلاگ میں پہلے کی NetScaler اندراجات موجود ہیں، جن میں 18 اکتوبر 2023 کو شامل CVE-2023-4966 بھی ہے، اس لیے یہ پروڈکٹ کی کل تیسری اندراج نہیں۔ Citrix نہیں کہتا کہ ان تینوں کی جڑ ایک ہے۔ Citrix کے زیر انتظام کلاؤڈ سروسز کسٹمر کے زیر انتظام بلیٹن سے باہر ہیں۔
محمیوں کے لیے اثرات: (1) اگر آپ کے ماحول میں SAML SP یا IdP کنفیگریشن ہے، تو فوراً CTX697174 کے مطابق ڈپلوائڈ ورژن کی تصدیق کریں اور 14.1 کو 14.1-73.41 یا بعد، 13.1 کو 13.1-64.28 یا بعد، اور FIPS / NDcPP کو 14.1-73.41 FIPS / 13.1-37.282 یا بعد تک اپ گریڈ کریں؛ وہ ماحول جو پہلے CTX697096 (CVE-2026-88771 سے CVE-2026-88778 کے بلیٹن) کے لیے اپ گریڈ ہو چکے ہیں، اگر وہ شرائط پوری کرتے ہیں تو انہیں بھی دوبارہ اپ گریڈ کی ضرورت ہے۔ (2) اپ گریڈ تک عارضی تخفیف کے طور پر Global Deny List سگنیچرز (v24 یا بعد) لاگو کریں اور stat denylist global AAA_REQUEST سے کاؤنٹرز چیک کریں۔ Citrix کا تصدیقی طریقہ کہتا ہے کہ صفر سے بڑی قدر بتاتی ہے کہ قواعد کام کر رہے ہیں۔ (3) KEV نوٹس forensicTriage کو Yes رکھتے ہیں اور BOD 26-04 کے تحت فرانزک ٹرائیج چاہتے ہیں۔ اس کمزوری کے لیے CTX697174 کی پیش شرط SAML SP (add authentication samlAction) یا SAML IdP (add authentication samlIdPProfile) ہے۔ CVE-2026-88771 اور CVE-2026-88772 کی پیش شرطیں CTX697096 میں مختلف ہیں۔