Vérificateur de sécurité défensive pour Citrix NetScaler ADC & Gateway — CVE-2026-88771 à CVE-2026-88778
Par Grupo Oruss | Division81 Defensive Security Research
Outil Python 3 hors ligne en lecture seule pour trier l'exposition de Citrix NetScaler ADC / Gateway dans le cadre du bulletin de sécurité Citrix CTX697096. Aucun trafic réseau, aucune charge utile d'exploit, aucun test DoS, aucune authentification, aucune télémétrie tierce. Ce n'est pas un détecteur d'exploitation de vulnérabilité ni une évaluation de compromission.
Exportez une configuration que vous êtes autorisé à inspecter (sortie de /nsconfig/ns.conf ou de show ns runningConfig). Obtenez la version du firmware installé depuis l'appliance et enregistrez éventuellement la sortie texte de show ns tcpparam. Ne téléversez pas de configurations de production propriétaires sur GitHub, des services cloud ou des systèmes de suivi de tickets.
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 --tcp-params examples/tcpparam.txt --output report.json
Aucune dépendance tierce. Compatible Windows, Linux et macOS.
potentially_exposed : build affecté pris en charge et un prérequis documenté semble présent. Cela ne prouve pas un comportement exploitable.fixed_build : atteint le seuil de build corrigé de l'avis, ce n'est pas une garantie d'absence de compromission.precondition_not_observed : l'heuristique n'a pas identifié de prérequis dans l'instantané fourni ; pas une déclaration de sécurité.configuration_unknown : des données de configuration supplémentaires critiques sont manquantes.unknown_build : aucune classification fiable de l'édition/du build n'a été possible.Le rapport JSON contient délibérément des décomptes, pas de lignes de configuration sensibles. Examinez la configuration source localement.
| CVE | CVSS v4 | Condition hors ligne |
|---|---|---|
| CVE-2026-88771 | 9.5 | Version (toutes les configurations par défaut affectées sur les builds vulnérables) |
| CVE-2026-88772 | 9.5 | DTLS, y compris les valeurs par défaut implicites du VPN SSL |
| CVE-2026-88773 | 9.3 | vServers HTTP/SSL |
| CVE-2026-88774 | 7.0 | Heuristique sur les expressions d'URL HTTP ; examiner manuellement les bindings |
| CVE-2026-88775 | 8.8 | vServers VPN ou AAA |
| CVE-2026-88776 | 8.8 | vServer ORACLE LB |
| CVE-2026-88777 | 8.8 | Heuristiques FTP/RTSP/DNS64/NAT64/LSN ; vérifier les bindings de fonctionnalités |
| CVE-2026-88778 | 8.8 | vServer TCP + Enhanced ISN Generation désactivé d'après show ns tcpparam |
Builds corrigés (selon CTX697096) : 14.1-73.37 / 13.1-64.23 pour la version standard, 14.1-73.37 pour FIPS, 13.1-37.279 pour FIPS/NDcPP.
Limites : Ce parseur est heuristique et peut manquer un contexte réparti sur plusieurs lignes de CLI, des valeurs par défaut post-déploiement, des expressions indirectes et des bindings de politiques ; show ns tcpparam est nécessaire pour CVE-2026-88778. Des entrées manquantes dans une configuration exportée partielle ne permettent pas d'exclure une exposition. Le build 13.0 et les autres versions non prises en charge/en fin de vie sont inconnues, pas sûres. Le vérificateur ne confirme pas une exploitation malveillante. Pour les appliances non corrigées exposées à Internet, appliquez les correctifs en urgence et réalisez une évaluation indépendante d'incident/compromission.
python -m unittest discover -s tests -v
N'inspectez que les configurations que vous possédez ou pour lesquelles vous disposez d'une autorisation d'évaluation. Ne validez jamais d'exports réels ni de résultats contenant des détails internes. Licence : MIT. Il s'agit d'un projet indépendant de recherche en sécurité défensive de By Grupo Oruss | Division81, non affilié à Citrix/NetScaler ni approuvé par ceux-ci.
Sources : Citrix CTX697096, avis CISA.
Générez les deux formats localement à l'aide de la même évaluation en lecture seule :
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 \
--tcp-params examples/tcpparam.txt --json report.json --html report.html
Sous Windows PowerShell, exécutez la commande sur une seule ligne ou utilisez l'accent grave PowerShell pour la continuation.
Ouvrez report.html localement dans un navigateur ; il s'agit d'un fichier autonome avec CSS intégré, sans scripts externes, ressources ni télémétrie. --output reste un alias rétrocompatible de --json. Le HTML fournit un résumé des KPI, les résultats pour les huit CVE, les actions recommandées et les mises en garde de l'évaluation. Il exclut la configuration brute et les lignes correspondantes ; néanmoins, vérifiez les rapports avant de les partager.
Important : Les évaluations sur des versions corrigées ne constituent pas une preuve de l'absence d'une compromission historique. Consultez le bulletin Citrix et les recommandations de la CISA pour le patching, les indicateurs de compromission et la préservation forensique.