Defensiver Sicherheitsprüfer für Citrix NetScaler ADC & Gateway — CVE-2026-88771 bis CVE-2026-88778
Von Grupo Oruss | Division81 Defensive Security Research
Schreibgeschütztes Offline-Python-3-Tool zur Triage der Exposition von Citrix NetScaler ADC / Gateway im Rahmen des Citrix-Sicherheitsbulletins CTX697096. Kein Netzwerkverkehr, keine Exploit-Payloads, kein DoS-Testing, keine Authentifizierung und keine Telemetrie von Drittanbietern. Kein Detektor für die Ausnutzung von Schwachstellen und keine Kompromittierungsbewertung.
Exportieren Sie eine Konfiguration, die Sie berechtigt sind zu prüfen (/nsconfig/ns.conf oder die Ausgabe von show ns runningConfig). Ermitteln Sie den installierten Firmware-Build vom Appliance und speichern Sie optional die Textausgabe von show ns tcpparam. Laden Sie keine proprietären Produktionskonfigurationen auf GitHub, Cloud-Dienste oder Issue-Tracker hoch.
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 --tcp-params examples/tcpparam.txt --output report.json
Keine Drittanbieter-Abhängigkeiten. Kompatibel mit Windows, Linux und macOS.
potentially_exposed: unterstützter betroffener Build und eine dokumentierte Voraussetzung scheint vorhanden zu sein. Es beweist nicht ausnutzbares Verhalten.fixed_build: erfüllt die Fixed-Build-Schwelle des Advisories, keine Garantie für Nicht-Kompromittierung.precondition_not_observed: die Heuristik hat in der bereitgestellten Momentaufnahme keine Voraussetzung identifiziert; keine Erklärung von Sicherheit.configuration_unknown: kritische ergänzende Konfigurationsdaten fehlen.unknown_build: keine zuverlässige Edition-/Build-Klassifizierung möglich.Der JSON-Bericht enthält bewusst Zähler, keine sensiblen Konfigurationszeilen. Überprüfen Sie die Quellkonfiguration lokal.
| CVE | CVSS v4 | Offline-Bedingung |
|---|---|---|
| CVE-2026-88771 | 9.5 | Version (alle Standardkonfigurationen auf anfälligen Builds betroffen) |
| CVE-2026-88772 | 9.5 | DTLS, einschließlich impliziter SSL-VPN-Standardwerte |
| CVE-2026-88773 | 9.3 | HTTP/SSL vServer |
| CVE-2026-88774 | 7.0 | HTTP-URL-Ausdrucks-Heuristik; Bindungen manuell überprüfen |
| CVE-2026-88775 | 8.8 | VPN- oder AAA-vServer |
| CVE-2026-88776 | 8.8 | ORACLE LB vServer |
| CVE-2026-88777 | 8.8 | FTP/RTSP/DNS64/NAT64/LSN-Heuristiken; Funktionsbindungen überprüfen |
| CVE-2026-88778 | 8.8 | TCP vServer + Enhanced ISN Generation deaktiviert laut show ns tcpparam |
Fixed Builds (gemäß CTX697096): 14.1-73.37 / 13.1-64.23 für Standard, 14.1-73.37 für FIPS, 13.1-37.279 für FIPS/NDcPP.
Einschränkungen: Dieser Parser ist heuristisch und kann Kontext übersehen, der über mehrere CLI-Zeilen verteilt ist, sowie Post-Deployment-Standardwerte, indirekte Ausdrücke und Policy-Bindungen; show ns tcpparam ist für CVE-2026-88778 erforderlich. Fehlende Einträge in einer teilweise exportierten Konfiguration können eine Exposition nicht ausschließen. Build 13.0 und andere nicht unterstützte/End-of-Life-Versionen sind unbekannt, nicht sicher. Der Prüfer bestätigt keine böswillige Ausnutzung. Bei internetzugewandten ungepatchten Appliances dringend patchen und eine unabhängige Vorfall-/Kompromittierungsbewertung durchführen.
python -m unittest discover -s tests -v
Prüfen Sie nur Konfigurationen, die Ihnen gehören oder für die Sie eine Berechtigung zur Bewertung haben. Committen Sie niemals echte Exporte oder Ergebnisse, die interne Details enthalten. Lizenz: MIT. Dies ist ein unabhängiges Projekt von Grupo Oruss | Division81 Defensive Security Research und steht in keiner Verbindung zu Citrix/NetScaler und wird von diesen nicht unterstützt.
Quellen: Citrix CTX697096, CISA-Hinweis.
Generieren Sie beide Formate lokal mithilfe derselben schreibgeschützten Bewertung:
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 \
--tcp-params examples/tcpparam.txt --json report.json --html report.html
Unter Windows PowerShell führen Sie den Befehl in einer Zeile aus oder verwenden Sie den PowerShell-Backtick für die Fortsetzung.
Öffnen Sie report.html lokal in einem Browser; es ist eine eigenständige Datei mit eingebettetem CSS, ohne externe Skripte, Assets oder Telemetrie. --output bleibt ein abwärtskompatibler Alias für --json. Die HTML-Datei bietet eine KPI-Zusammenfassung, Ergebnisse für alle acht CVEs, empfohlene Maßnahmen und Hinweise zur Bewertung. Sie enthält keine Rohkonfiguration und keine übereinstimmenden Zeilen; dennoch sollten Sie Berichte vor der Weitergabe überprüfen.
Wichtig: Bewertungen auf gepatchten Builds sind kein Beweis für die Abwesenheit einer historischen Kompromittierung. Konsultieren Sie das Citrix-Bulletin und die CISA-Anleitung zu Patches, Kompromittierungsindikatoren und forensischer Sicherung.