netscaler-cve-2026-88778-check

Un verificatore offline per CVE-2026-88778, i numeri di sequenza iniziali (ISN) TCP prevedibili di NetScaler. Analizza le evidenze su build e configurazione di NetScaler segnalate dall'operatore e genera report in JSON, CSV o HTML. È uno script Python 3.10+ autonomo che utilizza solo la libreria standard.

Non contatta mai un appliance, non esegue codice applicativo, non analizza una configurazione né verifica la sfruttabilità. Non ha modalità di rete né payload di exploit.

• Cosa significano i risultati
• Requisiti e avvio rapido
• Regole di versione
• Osservazioni sulla configurazione
• Utilizzo
• Report e output
• Fonti e avvertenze
• Sviluppo ed evidenze di rilascio
• Contribuire, sicurezza e licenza

Cosa significano i risultati

Il verificatore segue le convenzioni di reportistica di node2shell-check e php2shell-check. Copre solo questa singola CVE. Ogni input è un'affermazione non verificata dell'operatore.

• Le versioni segnalate sono evidenze, non uno stato di runtime verificato.
• potentially_affected non equivale a sfruttabilità confermata.
• fixed_version_reported non è una garanzia di patch o di sicurezza.
• unknown non è mai sicuro.
• Ogni risultato ha exploitability: not_tested.

Requisiti e avvio rapido

Richiede Python 3.10 o successivo (usa python3 se è così che è installato sul tuo sistema). Non c'è nulla da installare e non ci sono dipendenze.

# One reported build
python netscaler_cve_2026_88778_check.py --version 14.1-73.36 --variant standard

# The synthetic example inventory as an HTML report
python netscaler_cve_2026_88778_check.py --inventory docs/example-inventory.json --format html --output report.html

# A CSV inventory as JSON, exiting 1 on findings
python netscaler_cve_2026_88778_check.py --csv-list inventory.csv --format json --fail-on-finding

Eseguire solo su inventari che si è autorizzati a valutare. Usare --help per tutte le opzioni.

Regole di versione

Affected significa rigorosamente prima della build corretta per lo stesso ramo e la stessa variante. Non viene inventato alcun limite inferiore né conclusione sul ciclo di vita.

Ramo e variante	Build corretta dal fornitore
14.1 standard	14.1-73.37
13.1 standard	13.1-64.23
14.1 FIPS	14.1-73.37
13.1 FIPS/NDcPP	13.1-37.279

Gli altri rami e 14.1 NDcPP restano unknown. Una variante 13.1 non specificata resta unknown quando i confronti standard e FIPS/NDcPP sono discordanti.

Testo della build accettato. 14.1-73.37, 14.1.73.37 e NS14.1: Build 73.37.nc, facoltativamente contrassegnati FIPS/NDcPP prima di un marcatore nc facoltativo. Fornire solo il testo della build. Le evidenze malformate, qualificate, non ASCII, in conflitto, di build personalizzate e non coperte restano unknown.

Osservazioni di configurazione

Fornire osservazioni esplicite come flag CLI true, false o unknown, booleani JSON o null, oppure valori CSV documentati. Restano separati dallo stato della versione e non dimostrano la raggiungibilità. Non vengono raccolti dati di configurazione o di processo locali.

Flag CLI	Significato	La condizione di esposizione prevede
--tcp-vserver	Almeno un virtual server ha un tipo compatibile con TCP elencato nel bollettino	true
--enhanced-isn-enabled	La generazione ISN avanzata è abilitata	false

Il solo firmware non è sufficiente per questa CVE. Il fornitore richiede inoltre di abilitare esplicitamente la generazione ISN avanzata e di verificarne l'attivazione. remediation_status mantiene visibile una modifica di configurazione richiesta o non verificata anche quando version_status è fixed_version_reported. Una revisione indipendente ha recuperato la guida alla configurazione TCP del fornitore collegata: la generazione ISN avanzata è disabilitata per impostazione predefinita e deve essere abilitata esplicitamente. Il checker non esegue alcun comando di configurazione.

Utilizzo

Combinare qualsiasi combinazione di --version, --inventory e --csv-list. Un report esistente viene rifiutato a meno che non venga fornito --force.

Opzione	Scopo
--version BUILD	Build NetScaler riportata; ripetibile.
--variant standard|fips|ndcpp	Variante applicata a tutte le versioni CLI. Le varianti ambigue non specificate restano unknown.
--build-source SOURCE	Provenienza applicata a tutte le versioni CLI. Solo empty, unknown, official e citrix consentono un confronto; qualsiasi altro valore resta unknown.
--inventory FILE	Inventario JSON rigoroso (oggetto o array non vuoto); ripetibile.
--csv-list FILE	CSV rigoroso con intestazione version; ripetibile.
--tcp-vserver, --enhanced-isn-enabled	Osservazioni: true, false o unknown (predefinito unknown).
--format json|csv|html	Formato del report (predefinito json).
--output FILE	Nuovo file di report (predefinito stdout). La directory di output deve già esistere.
--force	Sostituisce esplicitamente un report esistente.
--fail-on-finding	Esce con 1 in caso di firmware affected o di una modifica richiesta della generazione ISN avanzata.
--tool-version	Stampa il nome e la versione dello strumento.

Gli input sono limitati (fino a 100 file e 10.000 osservazioni per esecuzione, 4 MiB per file e 512 caratteri per stringa) e devono essere file regolari. L'output non può risolversi o creare hard link verso alcun input, nemmeno con --force. Le definizioni dei campi, gli schemi di input, i limiti e le regole di sicurezza sono nel riferimento.

Codici di uscita

Codice	Significato
0	Report scritto. I risultati unknown non modificano di per sé il codice di uscita e non costituiscono mai un'assoluzione.
1	È stato fornito --fail-on-finding e un risultato presenta firmware affected o una modifica richiesta della generazione ISN avanzata.
2	Errore di utilizzo, input o output. Si tratta di errori operativi, non di risultati della valutazione.
130	Interrotto. Le osservazioni completate vengono preservate ove possibile, con metadati espliciti di completezza.

Consultare il riferimento per la semantica di pubblicazione, interruzione e stdout, i limiti e le righe di riepilogo CSV.

Report e output