CVE-2026-88772 - Citrix NetScaler ADC/Gateway DTLS-Speicherüberlauf (RCE/DoS)

Überblick

Dienstprogramm für Remote-Code-Execution (RCE) und Denial-of-Service (DoS) gegen Citrix NetScaler ADC- und Gateway-Appliances. Nutzt die DTLS-Speicherüberlauf-Schwachstelle (CWE-119), um unauthentifizierte Remote-Code-Execution zu erreichen, wenn DTLS auf VPN-virtuellen Servern aktiviert ist.

Betroffene Versionen

• NetScaler ADC/Gateway 14.1 < 14.1-73.37
• NetScaler ADC/Gateway 13.1 < 13.1-64.23
• FIPS/NDcPP-Varianten vor 14.1-73.37 FIPS und 13.1.37.279
• Alle ungepatchten Builds vor den CTX697096-Patches (veröffentlicht im September 2026)

Ursache

Unzureichende Einschränkung von Operationen innerhalb der Grenzen eines Speicherpuffers (CWE-119) in der DTLS-Record-Verarbeitungsroutine auf UDP/443. Ermöglicht beliebiges Schreiben in den Speicher, was zu RCE oder DoS führt, wenn ein fehlerhaftes DTLS-Paket verarbeitet wird.

Verwendung

# Grundlegender Scan
python poc.py -u https://vpn.example.com --mode check

# Ausnutzung
python poc.py -u https://vpn.example.com --mode exploit

Massen-Scanning (Multithreaded):

python poc.py --list targets.txt --mode exploit -j 12

Exploit

href

Screenshot

Konsolenausgabe auf einem anfälligen DTLS-vServer (Erlangen einer RCE-Sitzung).

Funktionen

• Erkennt NetScaler ADC/Gateway über HTTP-Pfade und Build-Strings
• Prüft die Offenheit von UDP/443 DTLS
• Sendet ein präpariertes DTLS ClientHello mit Overflow-Payload (kein Kit)
• Löst Remote-Code-Execution oder Dienst-DoS auf ungepatchten Appliances aus

Warum es wichtig ist (Red-Team-Wert)

• Vollständige unauthentifizierte RCE auf exponierten VPN-Portalen
• Keine Authentifizierung erforderlich
• Funktioniert gegen in freier Wildbahn ausgenutzte Builds
• Unauffällig – imitiert legitimen DTLS-Verkehr

Rechtliches

Nur autorisierte Tests und Incident Response. Produktions-Appliances nicht zum Absturz bringen.