FlawOpen

flawopen.com/Teardowns/cve-2026-88779-citrix-netscaler-saml-memory-overflow

● CVE-2026-88779 · CVSS v4 8.7 · Hoch
Sicherheitsforschung · FlawOpen

CVE-2026-88779: SAML-Speicherüberlauf in Citrix NetScaler

CVE-2026-88779 ist eine Speicherüberlauf-Schwachstelle in kundenseitig verwaltetem Citrix NetScaler ADC und Gateway. Betroffen sind Installationen mit konfigurierter SAML-Authentifizierung; gezielte Angriffe nutzen sie zur Dienstunterbrechung. Citrix hat keine Auswirkungen auf die Integrität von Kundendaten festgestellt.[1], [2], [3]

💡 Einfache Erklärung (ELI5)

Eine Warteschlange hat nur begrenzten Platz. Nimmt ein Schalter ein Ticket an, das mehr Platz beansprucht, als vorhanden ist, kann der gesamte Schalterbetrieb ausfallen. Diese Schwachstelle überschreitet eine Speichergrenze in einem bestimmten SAML-Pfad; bestätigt ist ein Verfügbarkeitsproblem, keine dokumentierte RCE.[1]

Kernkonzepte & Begriffe

SAML SP / IdP
Service-Provider- und Identity-Provider-Rollen in SAML; Citrix nennt beide Konfigurationen als Voraussetzung.[1]
CWE-119
Unzureichende Begrenzung von Operationen innerhalb eines Speicherpuffers.[1]
Global Deny List
Citrix-Funktion für virtuelles Patching; nur eine vorübergehende Maßnahme unter dokumentierten Voraussetzungen.[2]
Verwandte CVE-2026-88771
Eine separate unauthentifizierte CWE-20-RCE betrifft alle kundenseitig betriebenen Installationen. Sie unterscheidet sich von diesem SAML-abhängigen CWE-119-Denial-of-Service-Fehler; beide stehen im Citrix-Bulletin CTX697096 und haben gemeinsame korrigierte Release-Zweige.[6]

Framework-Zuordnungen

Ursachenanalyse

Citrix ordnet CVE-2026-88779 CWE-119 und CVSS 4.0 8,7 zu. Der Speicherüberlauf kann zu Denial of Service führen, wenn NetScaler ADC oder Gateway als SAML Service Provider (SP) oder Identity Provider (IdP) konfiguriert ist. Die ergänzende Citrix-Anleitung fokussiert auf SAML-Authentifizierung in Verbindung mit Gateway- oder AAA-Funktionen und meldet gezielte Angriffe auf nicht mitigierte Installationen. Wiederholtes Auslösen kann den Dienst dauerhaft beeinträchtigen; Citrix hat keine Integritätsauswirkung auf Kundendaten festgestellt. Quellcodezeilen und Patch-Diff wurden nicht veröffentlicht; das C-Beispiel zeigt nur allgemein eine Grenzprüfung und ist weder NetScaler-Code noch eine Reproduktion. Prüfen Sie die Konfiguration auf add authentication samlAction (SAML SP) oder add authentication samlIdPProfile (SAML IdP), bewerten Sie Gateway/AAA, installieren Sie den korrigierten Build und nutzen Sie Global Deny List nur bei erfüllten Citrix-Version- und Konsolenvoraussetzungen.[1], [2]

Matrix zu Umfang und Behebung von CVE-2026-88779

BereichDokumentierte Bedingung oder VersionMaßnahme
Betroffene KonfigurationKundenseitig verwaltetes ADC/Gateway mit konfiguriertem SAML SP oder IdP im Gateway/AAA-Kontext.add authentication samlAction und add authentication samlIdPProfile prüfen; Gateway/AAA-Kontext bewerten.
ADC/Gateway 14.1Vor 14.1-73.41 betroffen; ab 14.1-73.41 behoben.Auf das korrigierte Release dieses Zweigs aktualisieren.
ADC/Gateway 13.1Vor 13.1-64.28 betroffen; ab 13.1-64.28 behoben.Auf das korrigierte Release dieses Zweigs aktualisieren.
ADC 14.1-FIPSVor 14.1-73.41 FIPS betroffen; ab 14.1-73.41 FIPS behoben.Auf das korrigierte FIPS-Release aktualisieren; nicht die Versionsnummer des Standard-Releases verwenden.
ADC 13.1-FIPS/NDcPPVor 13.1-37.282 betroffen; ab 13.1-37.282 behoben.Auf das passende korrigierte FIPS/NDcPP-Release aktualisieren.
Für Global Deny List geeignete Zwischen-Releases14.1-73.37 ≤ Version < 14.1-73.41; 13.1-64.23 ≤ Version < 13.1-64.28.Nur nach Prüfung aller Citrix-Voraussetzungen als temporären virtuellen Patch einsetzen; er ersetzt das Upgrade nicht.
Global-Deny-List-VoraussetzungenNetScaler Console mit Cloud Connect oder Console service; virtual patching aktiviert; Standardsignaturen ab v24.Mit show appfw signatures und stat denylist global AAA_REQUEST prüfen; vor Aktivierung aktuelle Citrix-Hinweise beachten.

Schritt-für-Schritt Angriffsablauf

Schritt 1

SAML-Anfrage erreicht den konfigurierten Dienst

Eine Netzwerkanfrage erreicht den SAML-Authentifizierungspfad einer Installation, die Citrix-Voraussetzungen erfüllt.[1], [3]

Schritt 2

Fehler an der Speichergrenze wird ausgelöst

Die fehlerhafte Speichergrenzenbehandlung kann ausgelöst werden; Citrix dokumentiert Denial of Service und berichtet gezielte Ausnutzung.[1]

Schritt 3

Authentifizierungsdienst wird nicht verfügbar

Bei wiederholter Auslösung kann der Dienst ausfallen. Citrix hat keine Integritätsauswirkung festgestellt; stellen Sie die CVE nicht als RCE dar.[1], [2]

Schritt 4

Umfang prüfen, mitigieren und aktualisieren

Prüfen Sie SAML und Gateway/AAA, nutzen Sie Global Deny List nur wenn zulässig und aktualisieren Sie auf den korrigierten Build.[1], [2]

Quellcode: Verwundbar vs. Sicher

Dieses C-Beispiel veranschaulicht eine allgemeine Pufferkapazitätsprüfung. Citrix hat weder den verwundbaren NetScaler-Quellcode noch einen Patch-Diff veröffentlicht. Es reproduziert die CVE nicht; die unterstützte Abhilfe ist der korrigierte Citrix-Build. Global Deny List ist nur bei erfüllten Voraussetzungen eine vorübergehende Maßnahme.

Quelltextauszug: Allgemeines C-Beispiel zur Grenzprüfung; kein Citrix-NetScaler-Quellcode

VERWUNDBARE IMPLEMENTIERUNG
#include <stddef.h>
#include <stdint.h>
#include <string.h>

int copy_field(uint8_t *dst, const uint8_t *src, size_t len) {
    /* Allgemeines unsicheres Muster: Die Eingabelänge wird nicht gegen die Kapazität von dst geprüft. */
    memcpy(dst, src, len);
    return 1;
}
GEHÄRTETER SICHERHEITS-PATCH
#include <stddef.h>
#include <stdint.h>
#include <string.h>

int copy_field(uint8_t *dst, size_t dst_capacity,
               const uint8_t *src, size_t len) {
    if (len > dst_capacity) return 0;
    memcpy(dst, src, len);
    return 1;
}

Checkliste für Engineering & Systemsicherheit

Quellen