🚨 CVE-2026-8451 - Vulnerabilità di Lettura Oltre i Limiti della Memoria in NetScaler SAML IdP

Una vulnerabilità di divulgazione della memoria pre-autenticazione che interessa Citrix NetScaler ADC e NetScaler Gateway configurati come Identity Provider (IdP) SAML.

---

✨ Panoramica

CVE-2026-8451 è una vulnerabilità di divulgazione della memoria di Alta Gravità causata da una Lettura Fuori dai Limiti (CWE-125) durante l'elaborazione delle richieste SAML Identity Provider.

Un attaccante non autenticato può inviare richieste SAML appositamente create per attivare una lettura oltre i limiti della memoria, potenzialmente esponendo memoria sensibile del processo.

📊 Riepilogo della Vulnerabilità

🎯 Impatto Potenziale

Un'effrazione riuscita può esporre:

• Artefatti di autenticazione
• Segreti runtime
• Memoria sensibile del processo
• Informazioni relative alla sessione
• Strutture di memoria interne

🧩 Causa Principale

Incoming SAML Request
          │
          ▼
 Improper XML Validation
          │
          ▼
 Out-of-Bounds Read
          │
          ▼
 Memory Disclosure

📦 Prodotti Interessati

Solo i sistemi configurati come SAML Identity Provider (IdP) sono vulnerabili.

✅ Versioni Corrette

🛡️ Mitigazione

✔ Upgrade Immediately
✔ Disable SAML IdP if Unused
✔ Restrict Internet Exposure
✔ Monitor /saml/login
✔ Review Authentication Logs
✔ Deploy IDS/IPS Signatures
✔ Detect Memory Disclosure Attempts

🔍 Rilevamento

Monitorare per:

• Richieste eccessive a /saml/login
• Payload XML malformati
• Crash imprevisti di NetScaler
• Anomalie di autenticazione
• Assertioni SAML sospette

📈 Stato dello Sfruttamento

[+] CVE-2026-8451 PoC - Ashraf Zaryouh (0xBlackash)
[+] Target: https://target.example.com
[+] Starting memory overread attempts...

[-] Attempt 1/12 (padding 476) - No leak
[-] Attempt 2/12 (padding 508) - No leak
[+] SUCCESS! Memory leak detected (padding: 540)

    Leaked bytes: 312

Hexdump:
  66 6f 6f 62 61 72 00 00  de de de de de de de de   |foobar..........|
  0d 0a 41 75 74 68 65 6e  74 69 63 61 74 69 6f 6e   |..Authentication|
  3a 20 53 65 73 73 69 6f  6e 49 44 3d 78 78 78 78   |: SessionID=xxxx|
  de de de de de de de de  0a 0d 55 73 65 72 2d 41   |..........User-A|
  67 65 6e 74 3a 20 4d 6f  7a 69 6c 6c 61 2f 35 2e   |gent: Mozilla/5.|
  ... (more binary data)

ASCII preview:
foobar......Authentication: SessionID=xxxx......User-Agent: Mozilla/5.

📚 Riferimenti

• Database Nazionale delle Vulnerabilità NIST
• Bollettino di Sicurezza Citrix
• Ricerca watchTowr Labs
• CISA (se aggiunto)

⚖️ Disclaimer

Questo repository è fornito esclusivamente a scopo educativo, difensivo e per la ricerca sulla cybersecurity. Non include codice di exploit o istruzioni per l'accesso non autorizzato. Eseguire sempre test di sicurezza con la dovuta autorizzazione.

⭐ Supporto

Se hai trovato utile questo repository, considera di dargli una ⭐.

Rimani Sicuro • Aggiorna Presto • Difendi Continuamente