netscaler-cve-2026-88778-check

Ein Offline-Prüfwerkzeug für CVE-2026-88778, vorhersagbare TCP-Initial-Sequenznummern (ISNs) bei NetScaler. Es bewertet vom Betreiber gemeldete NetScaler-Build- und Konfigurationsnachweise und schreibt JSON-, CSV- oder HTML-Berichte. Es ist ein eigenständiges Python-3.10+-Skript, das ausschließlich die Standardbibliothek verwendet.

Es kontaktiert niemals ein Gerät, führt keinen Anwendungscode aus, scannt keine Konfiguration und testet keine Ausnutzbarkeit. Es gibt keinen Netzwerkmodus und keine Exploit-Payload.

• Was die Ergebnisse bedeuten
• Voraussetzungen und Schnellstart
• Versionsregeln
• Konfigurationsbeobachtungen
• Verwendung
• Berichte und Ausgabe
• Quellen und Einschränkungen
• Entwicklung und Release-Nachweise
• Mitwirken, Sicherheit und Lizenz

Was die Ergebnisse bedeuten

Das Prüfwerkzeug folgt den Berichtskonventionen von node2shell-check und php2shell-check. Es deckt ausschließlich diese eine CVE ab. Jede Eingabe ist eine unbestätigte Angabe des Betreibers.

• Gemeldete Versionen sind Nachweise, kein verifizierter Laufzeitzustand.
• potentially_affected bedeutet nicht bestätigte Ausnutzbarkeit.
• fixed_version_reported ist keine Patch- oder Sicherheitsgarantie.
• unknown ist niemals sicher.
• Jedes Ergebnis hat exploitability: not_tested.

Voraussetzungen und Schnellstart

Erfordert Python 3.10 oder neuer (verwenden Sie python3, wenn es auf Ihrem System so installiert ist). Es gibt nichts zu installieren und keine Abhängigkeiten.

# One reported build
python netscaler_cve_2026_88778_check.py --version 14.1-73.36 --variant standard

# The synthetic example inventory as an HTML report
python netscaler_cve_2026_88778_check.py --inventory docs/example-inventory.json --format html --output report.html

# A CSV inventory as JSON, exiting 1 on findings
python netscaler_cve_2026_88778_check.py --csv-list inventory.csv --format json --fail-on-finding

Führen Sie dies nur gegen Bestände aus, für deren Bewertung Sie autorisiert sind. Führen Sie --help aus, um alle Optionen anzuzeigen.

Versionsregeln

Betroffen bedeutet strikt vor dem festen Build für denselben Branch und dieselbe Variante. Es wird keine Untergrenze und keine Lebenszyklus-Schlussfolgerung erfunden.

Branch und Variante	Vom Hersteller festgelegter Build
14.1 standard	14.1-73.37
13.1 standard	13.1-64.23
14.1 FIPS	14.1-73.37
13.1 FIPS/NDcPP	13.1-37.279

Andere Branches und 14.1 NDcPP bleiben unknown. Eine nicht angegebene 13.1-Variante bleibt unknown, wenn die Vergleiche für standard und FIPS/NDcPP voneinander abweichen.

Akzeptierter Build-Text. 14.1-73.37, 14.1.73.37 und NS14.1: Build 73.37.nc, optional mit FIPS/NDcPP vor einem optionalen nc-Marker gekennzeichnet. Geben Sie nur den Build-Text an. Fehlerhafte, qualifizierte, nicht-ASCII-, widersprüchliche, benutzerdefinierte und nicht abgedeckte Angaben bleiben unknown.

Konfigurationsbeobachtungen

Geben Sie explizite Beobachtungen als true-, false- oder unknown-CLI-Flags, JSON-Booleans oder null bzw. als dokumentierte CSV-Werte an. Sie bleiben getrennt vom Versionsstatus und belegen keine Erreichbarkeit. Es werden keine lokalen Konfigurations- oder Prozessdaten erfasst.

CLI-Flag	Bedeutung	Erwartung der Expositionsbedingung
--tcp-vserver	Mindestens ein virtueller Server hat einen TCP-fähigen Typ, der im Bulletin aufgeführt ist	true
--enhanced-isn-enabled	Die erweiterte ISN-Generierung ist aktiviert	false

Die Firmware allein ist für diese CVE nicht ausreichend. Der Hersteller verlangt außerdem, die erweiterte ISN-Generierung explizit zu aktivieren und zu überprüfen, dass sie aktiv ist. remediation_status hält eine erforderliche oder unbestätigte Konfigurationsänderung sichtbar, auch wenn version_status fixed_version_reported lautet. Eine unabhängige Prüfung hat die verlinkte Herstelleranleitung zur TCP-Konfiguration abgerufen: Die erweiterte ISN-Generierung ist standardmäßig deaktiviert und muss explizit aktiviert werden. Der Checker führt keinen Konfigurationsbefehl aus.

Verwendung

Kombinieren Sie beliebige der Optionen --version, --inventory und --csv-list. Ein vorhandener Bericht wird abgelehnt, sofern nicht --force angegeben wird.

Option	Zweck
--version BUILD	Gemeldeter NetScaler-Build; wiederholbar.
--variant standard|fips|ndcpp	Variante, die auf alle CLI-Versionen angewendet wird. Nicht angegebene mehrdeutige Varianten bleiben unknown.
--build-source SOURCE	Herkunft, die auf alle CLI-Versionen angewendet wird. Nur leer, unknown, official und citrix erlauben einen Vergleich; alles andere bleibt unknown.
--inventory FILE	Striktes JSON-Inventar (Objekt oder nicht leeres Array); wiederholbar.
--csv-list FILE	Striktes CSV mit einem version-Header; wiederholbar.
--tcp-vserver, --enhanced-isn-enabled	Beobachtungen: true, false oder unknown (Standard unknown).
--format json|csv|html	Berichtsformat (Standard json).
--output FILE	Neue Berichtsdatei (Standard stdout). Das Ausgabeverzeichnis muss bereits existieren.
--force	Einen vorhandenen Bericht explizit ersetzen.
--fail-on-finding	Exit 1 bei betroffener Firmware oder einer erforderlichen Enhanced-ISN-Änderung.
--tool-version	Toolname und -version ausgeben.

Eingaben sind begrenzt (bis zu 100 Dateien und 10.000 Beobachtungen pro Lauf, 4 MiB pro Datei und 512 Zeichen pro Zeichenkette) und müssen reguläre Dateien sein. Die Ausgabe darf sich nicht auf eine Eingabe auflösen oder eine Hardlink-Verknüpfung zu einer Eingabe bilden, auch nicht mit --force. Felddefinitionen, Eingabeschemata, Grenzen und Sicherheitsregeln finden Sie in der Referenz.

Exit-Codes

Code	Bedeutung
0	Bericht geschrieben. unknown-Ergebnisse ändern für sich genommen den Exit-Code nicht und sind niemals ein Freibrief.
1	--fail-on-finding wurde angegeben und ein Ergebnis weist betroffene Firmware oder eine erforderliche Enhanced-ISN-Änderung auf.
2	Verwendungs-, Eingabe- oder Ausgabefehler. Dies sind betriebliche Fehler, keine Bewertungsergebnisse.
130	Unterbrochen. Abgeschlossene Beobachtungen werden nach Möglichkeit mit expliziten Vollständigkeitsmetadaten erhalten.