netscaler-cve-2026-88776-check

CVE-2026-88776: corruzione della memoria nel load-balancer NetScaler Oracle. Un checker Python autonomo e offline che confronta le evidenze sulla build e sulla configurazione di NetScaler riportate dall'operatore con le build corrette dal fornitore.

Legge solo le stringhe di build e le osservazioni fornite dall'utente. Non contatta mai un appliance, non esegue codice applicativo, non invia payload di exploit e non verifica la sfruttabilità.

• Ambito
• Requisiti
• Avvio rapido
• Lettura dei risultati
• Regole di versione
• Osservazioni sulla configurazione
• Input e opzioni
• Report
• Limitazioni
• Fonti e avvertenze sugli advisory
• Sviluppo
• Contributi, sicurezza e licenza

Ambito

Questo repository copre solo CVE-2026-88776, seguendo le convenzioni di reportistica di node2shell-check e php2shell-check. È un ausilio al triage per gli inventari che sei autorizzato a valutare, non uno scanner generico di prodotti.

• Le versioni riportate sono evidenze, non uno stato di runtime verificato.
• potentially_affected non indica sfruttabilità confermata.
• fixed_version_reported non è una garanzia di patch o di sicurezza.
• unknown non è mai sicuro.
• Ogni risultato ha exploitability: not_tested.

Requisiti

• Python 3.10 o successivo. Il checker usa solo la libreria standard, quindi non c'è nulla da installare.
• Non è necessario né viene utilizzato alcun accesso alla rete.

Avvio rapido

Esegui il checker da un clone di questo repository. Usa python3 dove python non è disponibile.

# One reported build, printed as JSON on stdout
python netscaler_cve_2026_88776_check.py --version 14.1-73.36 --variant standard

# The synthetic example inventory, written as a self-contained HTML report
python netscaler_cve_2026_88776_check.py --inventory docs/example-inventory.json --format html --output report.html

# A CSV inventory, written as JSON, with a failing exit code if firmware is affected
python netscaler_cve_2026_88776_check.py --csv-list inventory.csv --format json --fail-on-finding

--version accetta una build NetScaler dichiarata. Per stampare la versione del checker stesso, usare --tool-version; --help elenca tutte le opzioni. Gli input possono essere combinati in un'unica esecuzione. Un file di report esistente viene rifiutato a meno che non si passi --force.

Lettura dei risultati

Ogni osservazione riceve uno stato della versione, uno stato indipendente delle precondizioni e uno stato della remediation.

version_status	Significato
potentially_affected	La build dichiarata è strettamente precedente alla build corretta dal fornitore per il suo branch e la sua variante.
fixed_version_reported	La build dichiarata è pari o superiore alla build corretta. Si tratta di un'affermazione dell'operatore, non di una patch distribuita verificata.
unknown	L'evidenza è mancante, malformata, in conflitto, relativa a una build personalizzata, ambigua o al di fuori dei branch e delle varianti coperti. Questo non è un risultato pulito.

version_reason spiega ogni decisione. Le ragioni principali per unknown sono una versione mancante o malformata, versioni o varianti in conflitto, una variante non riconosciuta, un branch o una variante non coperti, una variante richiesta ambigua e una provenienza della build non ufficiale. fixed_version può elencare soglie alternative per un'osservazione 13.1 ambigua.

• precondition_status è conditions_observed, condition_not_observed o unknown. Riassume solo le osservazioni di configurazione fornite e non significa mai esposizione verificata o un risultato pulito.
• remediation_status distingue "aggiornamento firmware richiesto", "verifica della versione richiesta" e "requisito della versione dichiarata". È indipendente dalla sfruttabilità, che è sempre not_tested.
• Gli stati della versione, della configurazione e della remediation sono mantenuti separati. Le osservazioni non modificano mai lo stato della versione.

Regole sulle versioni

Una build è interessata solo quando è strettamente precedente alla build corretta per lo stesso branch e la stessa variante. Non viene inventato alcun limite inferiore né conclusione sul ciclo di vita.

Branch e variante	Build corretta dal fornitore
14.1 standard	14.1-73.37
13.1 standard	13.1-64.23
14.1 FIPS	14.1-73.37
13.1 FIPS/NDcPP	13.1-37.279

• Altri branch e 14.1 NDcPP restano unknown.
• Una variante 13.1 non specificata resta unknown quando i confronti standard e FIPS/NDcPP sono discordanti.
• Le forme di build accettate sono 14.1-73.37, 14.1.73.37 e NS14.1: Build 73.37.nc, facoltativamente contrassegnate FIPS o NDcPP prima di un marcatore nc facoltativo. Fornire solo il testo della build, non un'intera riga show version.
• Evidenze malformate, qualificate, non ASCII, in conflitto, relative a build personalizzate e non coperte restano unknown.

Osservazioni di configurazione

Fornire osservazioni esplicite come flag CLI true, false o unknown, come booleani JSON o null, oppure come valori CSV documentati. Restano separate dallo stato della versione e non provano la raggiungibilità. Non viene raccolto alcun dato di configurazione o di processo locale.

Flag CLI	Significato	La condizione di esposizione si aspetta
--oracle-lb-vserver	È configurato un virtual server LB di tipo Oracle	true

Input e opzioni