FlawOpen

flawopen.com/Teardowns/cve-2026-88779-citrix-netscaler-saml-memory-overflow

● CVE-2026-88779 · CVSS v4 8.7 · Alta
Pesquisa · FlawOpen

CVE-2026-88779: estouro de memória SAML no Citrix NetScaler

CVE-2026-88779 é uma vulnerabilidade de estouro de memória no Citrix NetScaler ADC e Gateway gerenciados pelo cliente. Ela afeta implantações com autenticação SAML configurada e está sendo usada em ataques direcionados para causar negação de serviço; a Citrix não identificou impacto na integridade dos dados dos clientes.[1], [2], [3]

💡 Explicação em Linguagem Simples (ELI5)

Uma fila de atendimento tem espaço limitado. Se um atendente aceitar um bilhete que exige mais espaço do que existe, o balcão pode travar e parar de atender todos. Esta falha ultrapassa um limite de memória em um caminho específico de SAML; o impacto confirmado é disponibilidade, não RCE documentada.[1]

Conceitos Centrais e Termos

SAML SP / IdP
Funções de provedor de serviço e provedor de identidade na autenticação SAML; a Citrix cita ambas como pré-condições.[1]
CWE-119
Restrição inadequada de operações dentro dos limites de um buffer de memória.[1]
Global Deny List
Recurso de virtual patching da Citrix; mitigação temporária sujeita aos pré-requisitos documentados.[2]
CVE-2026-88771 relacionada
Uma RCE CWE-20 sem autenticação afeta todas as implantações gerenciadas pelo cliente. Ela é distinta desta falha CWE-119 de negação de serviço condicionada ao SAML; ambas constam do boletim Citrix CTX697096 e compartilham as linhas de versões corrigidas.[6]

Mapeamentos de frameworks

Análise de Causa Raiz

A Citrix classifica CVE-2026-88779 como CWE-119, CVSS 4.0 8,7, e descreve estouro de memória que causa negação de serviço quando NetScaler ADC ou Gateway está configurado como provedor de serviço SAML (SP) ou provedor de identidade (IdP). A orientação complementar da Citrix direciona a análise ao uso de autenticação SAML com Gateway ou AAA e relata ataques direcionados a implantações sem correção. Acionamentos repetidos podem manter o serviço indisponível; a Citrix não identificou impacto à integridade dos dados. O fornecedor não publicou as linhas vulneráveis nem o diff do patch; o exemplo C abaixo ilustra genericamente uma verificação de limites e não é código NetScaler nem reproduz a falha. Inspecione a configuração para add authentication samlAction (SAML SP) ou add authentication samlIdPProfile (SAML IdP), avalie o contexto Gateway/AAA, aplique o build corrigido e só use Global Deny List quando os pré-requisitos de versão e console da Citrix forem atendidos.[1], [2]

Matriz de escopo e correção da CVE-2026-88779

ÁreaCondição ou versão documentadaAção do operador
Configuração afetadaADC/Gateway gerenciado pelo cliente com SAML SP ou IdP configurado no contexto Gateway/AAA.Inspecione add authentication samlAction e add authentication samlIdPProfile; avalie o contexto Gateway/AAA.
ADC/Gateway 14.1Afetado antes de 14.1-73.41; corrigido em 14.1-73.41 ou posterior.Atualize para a versão corrigida desta linha.
ADC/Gateway 13.1Afetado antes de 13.1-64.28; corrigido em 13.1-64.28 ou posterior.Atualize para a versão corrigida desta linha.
ADC 14.1-FIPSAfetado antes de 14.1-73.41 FIPS; corrigido em 14.1-73.41 FIPS ou posterior.Atualize para a versão FIPS corrigida; não substitua pelo número da versão padrão.
ADC 13.1-FIPS/NDcPPAfetado antes de 13.1-37.282; corrigido em 13.1-37.282 ou posterior.Atualize para a versão corrigida FIPS/NDcPP aplicável.
Versões intermediárias elegíveis ao Global Deny List14.1-73.37 ≤ versão < 14.1-73.41; 13.1-64.23 ≤ versão < 13.1-64.28.Use somente como virtual patch temporário após confirmar todos os pré-requisitos Citrix; isso não substitui a atualização.
Pré-requisitos do Global Deny ListNetScaler Console com Cloud Connect ou Console service; virtual patching habilitado; assinaturas padrão v24 ou posteriores.Verifique com show appfw signatures e stat denylist global AAA_REQUEST; consulte as orientações atuais da Citrix antes de ativar.

Fluxo de Ataque Passo a Paso

Passo 1

A requisição SAML chega ao serviço configurado

Uma requisição de rede chega ao caminho de autenticação SAML em uma implantação que atende aos pré-requisitos da Citrix.[1], [3]

Passo 2

A falha de limite de memória é acionada

O tratamento vulnerável de limites de memória pode ser acionado; a Citrix documenta negação de serviço e relata exploração direcionada.[1]

Passo 3

O serviço de autenticação fica indisponível

Se acionado repetidamente, o serviço afetado pode continuar indisponível. A Citrix não identificou impacto à integridade; não classifique esta CVE como RCE.[1], [2]

Passo 4

Verifique o escopo, atenue e aplique o patch

Inspecione SAML e o contexto Gateway/AAA, use apenas a mitigação Global Deny List elegível se necessário e atualize para a versão corrigida.[1], [2]

Código-Fonte: Vulnerável vs. Seguro

Este exemplo em C ilustra uma verificação genérica da capacidade de um buffer. A Citrix não publicou o código vulnerável do NetScaler nem o diff da correção. O exemplo não reproduz a CVE; a correção suportada é o build corrigido da Citrix, e Global Deny List só pode ser uma mitigação temporária quando os pré-requisitos forem atendidos.

Trecho de origem: Exemplo genérico de verificação de limites em C; não é código-fonte do Citrix NetScaler

IMPLEMENTAÇÃO VULNERÁVEL
#include <stddef.h>
#include <stdint.h>
#include <string.h>

int copy_field(uint8_t *dst, const uint8_t *src, size_t len) {
    /* Padrão genérico inseguro: o tamanho da entrada não é validado em relação à capacidade de dst. */
    memcpy(dst, src, len);
    return 1;
}
PATCH SEGURO E ROBUSTO
#include <stddef.h>
#include <stdint.h>
#include <string.h>

int copy_field(uint8_t *dst, size_t dst_capacity,
               const uint8_t *src, size_t len) {
    if (len > dst_capacity) return 0;
    memcpy(dst, src, len);
    return 1;
}

Lista de Verificação de Segurança para Engenharia

Fontes