🚨 CVE-2026-8451 - Vulnerabilidad de sobrelectura de memoria en SAML IdP de NetScaler

Una vulnerabilidad de divulgación de memoria sin autenticación que afecta a Citrix NetScaler ADC y NetScaler Gateway configurados como proveedor de identidad SAML (IdP).

---

✨ Descripción general

CVE-2026-8451 es una vulnerabilidad de divulgación de memoria de Alta Gravedad causada por una Lectura Fuera de Límites (CWE-125) durante el procesamiento de solicitudes del proveedor de identidad SAML.

Un atacante no autenticado puede enviar solicitudes SAML especialmente manipuladas para desencadenar una sobrelectura de memoria, exponiendo potencialmente memoria sensible del proceso.

📊 Resumen de la Vulnerabilidad

🎯 Impacto Potencial

Una explotación exitosa puede exponer:

• Artefactos de autenticación
• Secretos en tiempo de ejecución
• Memoria sensible del proceso
• Información relacionada con la sesión
• Estructuras internas de memoria

🧩 Causa Raíz

Solicitud SAML entrante
          │
          ▼
 Validación XML incorrecta
          │
          ▼
 Lectura Fuera de Límites
          │
          ▼
 Divulgación de memoria

📦 Productos Afectados

Solo los sistemas configurados como proveedor de identidad SAML (IdP) son vulnerables.

✅ Versiones Corregidas

🛡️ Mitigación

✔ Actualizar inmediatamente
✔ Deshabilitar SAML IdP si no se usa
✔ Restringir exposición a Internet
✔ Monitorear /saml/login
✔ Revisar registros de autenticación
✔ Implementar firmas IDS/IPS
✔ Detectar intentos de divulgación de memoria

🔍 Detección

Monitoree:

• Solicitudes excesivas a /saml/login
• Cargas XML malformadas
• Fallos inesperados de NetScaler
• Anomalías de autenticación
• Afirmaciones SAML sospechosas

📈 Estado de Explotación

[+] PoC CVE-2026-8451 - Ashraf Zaryouh (0xBlackash)
[+] Objetivo: https://target.example.com
[+] Iniciando intentos de sobrelectura de memoria...

[-] Intento 1/12 (relleno 476) - Sin fuga
[-] Intento 2/12 (relleno 508) - Sin fuga
[+] ¡ÉXITO! Fuga de memoria detectada (relleno: 540)

    Bytes filtrados: 312

Volcado hexadecimal:
  66 6f 6f 62 61 72 00 00  de de de de de de de de   |foobar..........|
  0d 0a 41 75 74 68 65 6e  74 69 63 61 74 69 6f 6e   |..Authentication|
  3a 20 53 65 73 73 69 6f  6e 49 44 3d 78 78 78 78   |: SessionID=xxxx|
  de de de de de de de de  0a 0d 55 73 65 72 2d 41   |..........User-A|
  67 65 6e 74 3a 20 4d 6f  7a 69 6c 6c 61 2f 35 2e   |gent: Mozilla/5.|
  ... (más datos binarios)

Vista previa ASCII:
foobar......Authentication: SessionID=xxxx......User-Agent: Mozilla/5.

📚 Referencias

• Base de Datos Nacional de Vulnerabilidades de NIST
• Aviso de Seguridad de Citrix
• Investigación de watchTowr Labs
• CISA (si se agrega)

⚖️ Descargo de responsabilidad

Este repositorio se proporciona solo con fines educativos, defensivos y de investigación en ciberseguridad. No incluye código de explotación ni instrucciones para acceso no autorizado. Siempre realice pruebas de seguridad con la autorización adecuada.

⭐ Apoyo

Si encontraste útil este repositorio, considera darle una ⭐.

Mantente Seguro • Parchea Temprano • Defiende Continuamente