Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Oh Look, The Foot Gun Went Off Again (Citrix NetScaler PreAuth Command Injection CVE-2026-88771)

1 minute de lecture

Mis à jour :

Analyse de la vulnérabilité RCE critique sur Citrix NetScaler

Des chercheurs en sécurité ont identifié une vulnérabilité critique de type injection de commandes (CVE-2026-88771) au sein des passerelles et contrôleurs Citrix NetScaler. Cette faille permet à un attaquant non authentifié d’exécuter des commandes arbitraires avec les privilèges root sur les systèmes cibles, ces derniers s’exécutant majoritairement avec les droits administrateurs complets.

Points clés

  • Vecteur d’attaque : La vulnérabilité exploite une mauvaise gestion de la validation des entrées dans le script Perl ns_monuploadd_err.pl. Le système traite des données malveillantes injectées dans les logs (par exemple via des champs de connexion ou des en-têtes HTTP) et les interprète comme des commandes système.
  • Exploitation : L’injection est “Pre-Auth” (sans authentification nécessaire). Bien que le déclenchement automatique puisse prendre jusqu’à 24 heures, les attaquants peuvent forcer l’exécution immédiate, offrant un accès complet au serveur.
  • Contexte : Cette vulnérabilité, exploitée activement en tant que “zero-day” avant toute correction, faisait partie d’un ensemble de huit failles publiées dans le bulletin de sécurité CTX697096.

Vulnérabilités identifiées

  • CVE-2026-88771 (Score CVSS 9.5 - Critique) : Injection de commandes par validation d’entrée insuffisante. Affecte la configuration par défaut.
  • CVE-2026-88772 (Score CVSS 9.5 - Critique) : Dépassement de mémoire (memory overflow) via DTLS pouvant mener à une exécution de code à distance ou un déni de service.
  • Autres CVE (2026-88773 à 88778) : Diverses failles (HTTP request smuggling, overflows) avec des scores CVSS allant de 7.0 à 9.3.

Recommandations

  1. Mise à jour immédiate : Appliquer sans délai les correctifs fournis par Citrix. Les versions corrigées sont :
    • NetScaler ADC / Gateway 14.1-73.37 et ultérieures.
    • NetScaler ADC / Gateway 13.1-64.23 et ultérieures.
    • Versions FIPS et NDcPP correspondantes (se référer au bulletin CTX697096).
  2. Audit de sécurité : Utiliser les outils de détection fournis par les chercheurs (disponibles sur le GitHub de watchTowr) pour vérifier si votre instance a été compromise ou est vulnérable.
  3. Surveillance : Inspecter les logs pour détecter toute tentative d’injection utilisant des caractères de contrôle (semicolons, pipes, backticks) dans les messages système.

Source

Vous pourriez aimer