„Citrix NetScaler“ spraga jau išnaudojama: būtina tikrinti SAML konfigūraciją

2026 m. spalio 5 d. Kanados kibernetinio saugumo centro perspėjimas nurodė, kad CVE-2026-88779 spraga „NetScaler ADC“ ir „NetScaler Gateway“ jau išnaudojama, o spalio 4 d. CISA ją įtraukė į žinomų išnaudojamų spragų katalogą. Lietuvos organizacijoms, pačioms valdančioms šiuos dieginius, svarbu tikrinti ne vien produkto pavadinimą: rizika priklauso nuo SAML konfigūracijos ir tikslios programinės įrangos laidos.

Pažeidžiamumas gali sutrikdyti autentifikavimo paslaugą, kai paveiktas „NetScaler“ veikia kaip SAML paslaugų teikėjas (SP) arba tapatybės teikėjas (IdP). Pataisa jau išleista, tačiau įprastoms, FIPS ir NDcPP šakoms taikomi skirtingi laidų numeriai. Net neseniai atnaujintą organizacijos valdomą dieginį reikia vertinti pagal faktiškai veikiančią laidą ir jo autentifikavimo konfigūraciją.

Ar konkrečiame dieginyje yra SAML sąlyga?

Pažeidžiamumo apimtis priklauso nuo to, kaip sukonfigūruotas konkretus „NetScaler ADC“ arba „NetScaler Gateway“ egzempliorius. Reikia nustatyti, ar jis naudojamas SAML autentifikavimui kartu su „Gateway“ arba AAA funkcija. Vien tai, kad organizacija kur nors naudoja SAML, dar neparodo, jog šią funkciją vykdo tikrinamas įrenginys.

Konfigūracijoje SAML SP požymis yra įrašas add authentication samlAction, o SAML IdP požymis – add authentication samlIdPProfile. Tikrinant kelių įrenginių aplinką šių įrašų reikia ieškoti kiekvieno egzemplioriaus konfigūracijoje: skirtingi įrenginiai gali atlikti skirtingus autentifikavimo vaidmenis. Aptikus bent vieną iš įrašų, tolesnį sprendimą lemia to egzemplioriaus produkto ir programinės įrangos šaka.

Jeigu nė vieno nurodyto SAML įrašo nėra, dieginys neatitinka šiai spragai nustatytos būtinos konfigūracijos sąlygos. Toks vertinimas taikomas būtent CVE-2026-88779; kitų „NetScaler“ saugumo problemų būklę reikia vertinti atskirai. Jei įrašas yra, vien SAML funkcijos pavadinimo neužtenka pasirinkti naujiniui: pirmiausia būtina atskirti įprastą laidą nuo FIPS ar NDcPP šakos.

Pataisyta laida priklauso nuo produkto ir šakos

„Citrix“ saugumo biuletenyje SAML SP arba IdP sąlyga, konfigūracijos įrašai ir pataisytos laidos nurodyti pagal atskiras palaikomas šakas. Spraga apibūdinta kaip atminties perpildymas, galintis sukelti paslaugos trikdymą; jai skirtas CVSS v4.0 įvertis yra 8,7 balo. Dieginiui, kuris atitinka SAML sąlygą, taikomos šios pataisytų laidų ribos:

• Įprastai „NetScaler ADC“ arba „NetScaler Gateway“ 14.1 šakai – 14.1-73.41 arba naujesnė tos pačios šakos laida.
• Įprastai „NetScaler ADC“ arba „NetScaler Gateway“ 13.1 šakai – 13.1-64.28 arba naujesnė tos pačios šakos laida.
• „NetScaler ADC“ 14.1-FIPS šakai – 14.1-73.41 FIPS arba naujesnė tos FIPS šakos laida.
• „NetScaler ADC“ 13.1-FIPS ir 13.1-NDcPP šakoms – 13.1-37.282 arba naujesnė atitinkamos šakos laida.

Šie numeriai nėra vieno universalaus paketo variantai. Pavyzdžiui, įprastos 13.1 šakos pataisyta laida numeruojama kitaip nei 13.1-FIPS ar 13.1-NDcPP, o atskiros FIPS ir NDcPP ribos nurodytos „NetScaler ADC“. Todėl šakos pavadinimą reikia sutikrinti prieš renkantis paketą, o po įdiegimo patikrinti faktiškai veikiančią laidą. Naujinio failo pavadinimas ar suplanuota darbų data savaime nepatvirtina, kad įrenginyje jau veikia pataisyta versija.

Ankstesniam saugumo perspėjimui skirtas naujinimas taip pat nėra pakankamas šios spragos patikros pakaitalas. Jei SAML sąlygą atitinkantis dieginys vis dar veikia su laida, senesne už jam taikomą ribą, jam reikalingas šiai spragai skirtas atnaujinimas. Tai ypač svarbu aplinkose, kuriose įrenginiai atnaujinami etapais: vienos grupės pataisyta būsena nieko nepasako apie kitą grupę, veikiančią su senesne laida.

Kas turi įdiegti naujinį?

Biuletenio aprėptis – klientų valdomi „NetScaler ADC“ ir „NetScaler Gateway“ dieginiai. Į ją patenka ir „Secure Private Access Hybrid“ aplinkos, jei jose naudojami tokie organizacijos valdomi „NetScaler“ egzemplioriai. Hibridinės paslaugos pavadinimas nekeičia atsakomybės už patį įrenginį: jo programinę įrangą reikia atnaujinti pagal konkrečią šaką.

„Citrix“ valdomas debesijos paslaugas, įskaitant „Gateway Service“, ir tiekėjo valdomą „Adaptive Authentication“ reikiamais naujiniais aprūpina tiekėjas. Mišrioje aplinkoje todėl reikia atskirti šias paslaugas nuo organizacijos valdomų „NetScaler“ egzempliorių. Sprendimas dėl paketo priklauso pastariesiems, o ne kiekvienam komponentui, kurio pavadinime minimas „Citrix“ ar „Gateway“.

Trumpa kiekvieno organizacijos valdomo egzemplioriaus patikra turi apimti tris dalykus: produkto ir šakos pavadinimą, veikiančios laidos numerį bei SAML SP arba IdP konfigūracijos įrašą. Šie duomenys kartu leidžia atskirti įrenginį, kuriam reikia konkretaus naujinio, nuo tiekėjo valdomos paslaugos ir nuo dieginio, kuris neatitinka šios spragos SAML sąlygos.

Ką reiškia aktyvus išnaudojimas?

„Citrix“ techniniame paaiškinime aprašė tikslines atakas prieš neapsaugotus dieginius: pakartotinai sukėlus klaidą paslauga gali likti nepasiekiama. Gamintojo vertinimu, nustatytas poveikis susijęs su prieinamumu, o poveikio klientų duomenų vientisumui nenustatyta. Administratoriui tai reiškia, kad autentifikavimo trikdžių rizika priklauso nuo konkretaus SAML kelio ir jo veikiančios laidos.

Kol diegiamas pataisytas paketas, „Global Deny List“ parašai gali padėti sumažinti poveikio riziką tik dieginiuose, kurie atitinka šios funkcijos ir versijos prielaidas. Tai laikina mažinimo priemonė, todėl ją naudojant vis tiek reikia planuoti perėjimą prie pataisytos laidos. Tikrinant paslaugos būklę svarbu įvertinti ir naudotojų prisijungimą: techninis įrenginio pasiekiamumas dar neparodo, ar SAML autentifikavimas veikia.

Aktyvaus išnaudojimo faktas suteikia pirmenybę tiems organizacijos valdomiems egzemplioriams, kuriuose sutampa SAML sąlyga ir senesnė už pataisytą tos šakos laida. Būtent jų atnaujinimas pašalina biuletenyje aprašytą pažeidžiamą autentifikavimo kelią; kitų komponentų būsena tokio egzemplioriaus neapsaugo.

Taip pat skaitykite:

• „FortiMail“ spraga jau išnaudojama: saugi versija priklauso nuo šakos
• Kada „YouTube“ būtina žymėti DI: scenarijus ne, tikroviška klastotė – taip
• Kiteworks po visuotinio išjungimo: spraga rasta, įsilaužimo požymių nėra