🚨 CVE-2026-8451 - Vulnérabilité de dépassement de mémoire en lecture du SAML IdP NetScaler

Une vulnérabilité de divulgation de mémoire sans authentification affectant Citrix NetScaler ADC et NetScaler Gateway configurés en tant que fournisseur d'identité SAML (IdP).

---

✨ Aperçu

CVE-2026-8451 est une vulnérabilité de divulgation de mémoire de haute sévérité causée par une lecture hors limites (CWE-125) lors du traitement des requêtes du fournisseur d'identité SAML.

Un attaquant non authentifié peut envoyer des requêtes SAML spécialement conçues pour déclencher une lecture hors limites de la mémoire, exposant potentiellement la mémoire sensible des processus.

📊 Aperçu de la vulnérabilité

🎯 Impact potentiel

L'exploitation réussie peut exposer :

• Artefacts d'authentification
• Secrets d'exécution
• Mémoire sensible des processus
• Informations liées aux sessions
• Structures de mémoire internes

🧩 Cause racine

Incoming SAML Request
          │
          ▼
 Improper XML Validation
          │
          ▼
 Out-of-Bounds Read
          │
          ▼
 Memory Disclosure

📦 Produits affectés

Seuls les systèmes configurés en tant que fournisseur d'identité SAML (IdP) sont vulnérables.

✅ Versions corrigées

🛡️ Atténuation

✔ Upgrade Immediately
✔ Disable SAML IdP if Unused
✔ Restrict Internet Exposure
✔ Monitor /saml/login
✔ Review Authentication Logs
✔ Deploy IDS/IPS Signatures
✔ Detect Memory Disclosure Attempts

🔍 Détection

Surveillez :

• Requêtes excessives vers /saml/login
• Charges XML malformées
• Crashes inattendus de NetScaler
• Anomalies d'authentification
• Assertions SAML suspectes

📈 Statut d'exploitation

[+] CVE-2026-8451 PoC - Ashraf Zaryouh (0xBlackash)
[+] Target: https://target.example.com
[+] Starting memory overread attempts...

[-] Attempt 1/12 (padding 476) - No leak
[-] Attempt 2/12 (padding 508) - No leak
[+] SUCCESS! Memory leak detected (padding: 540)

    Leaked bytes: 312

Hexdump:
  66 6f 6f 62 61 72 00 00  de de de de de de de de   |foobar..........|
  0d 0a 41 75 74 68 65 6e  74 69 63 61 74 69 6f 6e   |..Authentication|
  3a 20 53 65 73 73 69 6f  6e 49 44 3d 78 78 78 78   |: SessionID=xxxx|
  de de de de de de de de  0a 0d 55 73 65 72 2d 41   |..........User-A|
  67 65 6e 74 3a 20 4d 6f  7a 69 6c 6c 61 2f 35 2e   |gent: Mozilla/5.|
  ... (more binary data)

ASCII preview:
foobar......Authentication: SessionID=xxxx......User-Agent: Mozilla/5.

📚 Références

• Base de données nationale des vulnérabilités NIST
• Avis de sécurité Citrix
• Recherche watchTowr Labs
• CISA (si ajouté)

⚖️ Avertissement

Ce dépôt est fourni uniquement à des fins éducatives, défensives et de recherche en cybersécurité. Il ne contient pas de code d'exploitation ni d'instructions pour un accès non autorisé. Effectuez toujours des tests de sécurité avec une autorisation appropriée.

⭐ Soutien

Si vous avez trouvé ce dépôt utile, envisagez de lui donner une ⭐.

Restez en sécurité • Corrigez tôt • Défendez en continu