مشکل تازه Citrix NetScaler: ریبوت‌های پشت سر هم با SAML
خلاصهٔ کامل‌تر
Citrix یه آپدیت امنیتی برای CVE-2026-88779 منتشر کرده. این یه آسیب‌پذیری تازه تو NetScaler ADC و NetScaler Gateway ـه که چند روز اخیر تو حمله‌های هدفمند ازش سوءاستفاده شده. نتیجه حمله DoS هست (یعنی از کار انداختن سرویس)، و دستگاه یا ریبوت میشه یا از دسترس خارج میشه. Citrix می‌گه اگه این وضعیت مدام تکرار بشه، سرویس ممکنه کلاً در دسترس نباشه، ولی تأثیری روی سلامت داده مشتری‌ها پیدا نکرده.
ماجرا از هفته قبل شروع شد. Citrix برای دو آسیب‌پذیری CVE-2026-88771 و CVE-2026-88772 وصله اضطراری داد. این دوتا اجازه remote code execution بدون احراز هویت (یعنی اجرای کد از راه دور بدون لاگین) می‌دادن و فعالانه مورد حمله بودن. تیم‌ها سریع build 14.1-73.37 و نسخه‌های مشابه رو نصب کردن. ولی بعدش گزارش‌ها نشون داد که daemon احراز هویت nsaad با یه جور ترافیک SAML دستکاری‌شده کرش می‌کنه.
تو محیط‌های high-availability و gatewayهایی که رو به اینترنت هستن، این کرش مکانیزم watchdog داخلی (یعنی ناظری که سرویس گیرکرده رو ری‌استارت می‌کنه) رو فعال می‌کنه. اون هم دستگاه رو به‌زور ری‌استارت می‌کنه و چرخه ریبوت پشت سر هم راه می‌افته. Citrix می‌گه این مشکل به پیکربندی بستگی داره و نشونه دور زدن وصله‌های قبلی نیست.
مشکل فقط سیستم‌هایی رو می‌گیره که SAML همراه Gateway یا AAA فعاله. نشونه‌ش وجود دستورهای add authentication samlAction یا add authentication samlIdPProfile تو پیکربندیه. تیم watchTowr Labs هم تونسته مشکل رو بازتولید کنه و برای مشتری‌هاش قانون‌های محافظتی گذاشته.
نسخه‌های اصلاح‌شده اینان: NetScaler ADC و Gateway نسخه 14.1-73.41 و 13.1-64.28، نسخه FIPS یعنی 14.1-73.41 FIPS، و نسخه FIPS و NDcPP یعنی 13.1-37.282. توصیه اینه که وصله‌های هفته قبل رو حتماً نگه دارید چون جلوی RCE رو می‌گیرن، پیکربندی SAML رو بررسی کنید و اگه مشکل دارید با پشتیبانی Citrix تماس بگیرید.
نکات کلیدی:
- CVE-2026-88779 باعث DoS و ریبوت مکرر NetScaler میشه و تو حمله‌های هدفمند استفاده شده.
- فقط سیستم‌هایی با SAML روی Gateway یا AAA درگیرن.
- daemon به اسم nsaad با ترافیک SAML دستکاری‌شده کرش می‌کنه و watchdog دستگاه رو ری‌استارت می‌کنه.
- نسخه‌های اصلاح‌شده: 14.1-73.41 و 13.1-64.28 و 13.1-37.282 برای FIPS و NDcPP.
- وصله‌های CVE-2026-88771 و CVE-2026-88772 رو برندارید، هنوز برای جلوگیری از RCE لازمن.
- Citrix می‌گه تأثیری روی داده مشتری‌ها پیدا نکرده.
