Here We Go Again (Citrix NetScaler DTLS Preauth Memory Overflow CVE-2026-88772)
Mis à jour :
Analyse de la vulnérabilité critique CVE-2026-88772 dans Citrix NetScaler
Cette vulnérabilité de type dépassement de mémoire (memory overflow) affecte le traitement du protocole DTLS dans les produits Citrix NetScaler ADC et Gateway. Identifiée comme une faille de type « zero-day » exploitée activement, elle permet à un attaquant non authentifié de provoquer un déni de service ou d’exécuter du code arbitraire à distance (RCE).
Points clés :
- Vecteur d’attaque : La vulnérabilité réside dans la fonction de réassemblage des paquets DTLS au sein du binaire
nsppe. En envoyant des fragments DTLS malicieux, un attaquant peut forcer l’application à copier une quantité de données dépassant la capacité du tampon mémoire alloué (35 840 octets), entraînant un écrasement de la mémoire. - Conditions d’exploitation : La faille est exploitable lorsque le protocole DTLS est activé (paramètre par défaut sur les serveurs VPN virtuels).
- Impact : Une exécution de code à distance (RCE) est possible malgré les protections binaires (NX activé), en utilisant des techniques ROP (Return-Oriented Programming) pour contourner les protections mémoire et exécuter un shellcode.
Vulnérabilité identifiée :
- CVE-2026-88772 : Overflow mémoire via DTLS. Score CVSS 4.0 : 9.5 (Critique).
Recommandations :
- Mise à jour immédiate : Appliquer les correctifs fournis par Citrix via les versions suivantes (ou ultérieures) :
- NetScaler ADC et Gateway 14.1-73.37
- NetScaler ADC et Gateway 13.1-64.23
- Versions FIPS et NDcPP correspondantes (voir le bulletin officiel CTX697096).
- Atténuation temporaire : Si la mise à jour n’est pas immédiatement possible, désactiver le protocole DTLS sur les serveurs virtuels VPN concernés (via la commande
-dtls OFF) afin de supprimer le vecteur d’attaque. - Audit : Utiliser les outils de détection fournis par les chercheurs (disponibles sur le GitHub de watchTowr Labs) pour vérifier la susceptibilité des environnements.