Controllo di sicurezza difensivo per Citrix NetScaler ADC & Gateway — da CVE-2026-88771 a CVE-2026-88778
A cura di Grupo Oruss | Division81 Defensive Security Research
Strumento Python 3 offline in sola lettura per il triage dell'esposizione di Citrix NetScaler ADC / Gateway in relazione al bollettino di sicurezza Citrix CTX697096. Nessun traffico di rete, payload di exploit, test DoS, autenticazione o telemetria di terze parti. Non è un rilevatore di sfruttamento di vulnerabilità né una valutazione di compromissione.
Esportare una configurazione che si è autorizzati a ispezionare (output di /nsconfig/ns.conf o show ns runningConfig). Ottenere dall'appliance la build del firmware installato e, facoltativamente, salvare l'output testuale di show ns tcpparam. Non caricare configurazioni di produzione proprietarie su GitHub, servizi cloud o issue tracker.
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 --tcp-params examples/tcpparam.txt --output report.json
Nessuna dipendenza di terze parti. Compatibile con Windows, Linux e macOS.
potentially_exposed: build interessata supportata e un prerequisito documentato sembra essere presente. Non dimostra un comportamento sfruttabile.fixed_build: soddisfa la soglia di build corretta dell'advisory, non è una garanzia di assenza di compromissione.precondition_not_observed: l'euristica non ha identificato un prerequisito nello snapshot fornito; non è una dichiarazione di sicurezza.configuration_unknown: mancano dati di configurazione supplementari critici.unknown_build: non è stato possibile effettuare una classificazione affidabile di edizione/build.Il report JSON contiene deliberatamente conteggi, non righe di configurazione sensibili. Esaminare la configurazione sorgente localmente.
| CVE | CVSS v4 | Condizione offline |
|---|---|---|
| CVE-2026-88771 | 9.5 | Versione (tutte le configurazioni predefinite interessate sulle build vulnerabili) |
| CVE-2026-88772 | 9.5 | DTLS, inclusi i valori predefiniti impliciti di SSL VPN |
| CVE-2026-88773 | 9.3 | vServer HTTP/SSL |
| CVE-2026-88774 | 7.0 | Euristica sulle espressioni URL HTTP; verificare manualmente i binding |
| CVE-2026-88775 | 8.8 | vServer VPN o AAA |
| CVE-2026-88776 | 8.8 | vServer ORACLE LB |
| CVE-2026-88777 | 8.8 | Euristiche FTP/RTSP/DNS64/NAT64/LSN; verificare i binding delle funzionalità |
| CVE-2026-88778 | 8.8 | vServer TCP + Enhanced ISN Generation disabilitato da show ns tcpparam |
Build corrette (secondo CTX697096): 14.1-73.37 / 13.1-64.23 per standard, 14.1-73.37 per FIPS, 13.1-37.279 per FIPS/NDcPP.
Limitazioni: Questo parser è euristico e potrebbe non rilevare contesti distribuiti su più righe CLI, valori predefiniti post-distribuzione, espressioni indirette e binding di policy; show ns tcpparam è necessario per CVE-2026-88778. Le voci mancanti in una configurazione esportata parziale non possono escludere l'esposizione. La build 13.0 e altre versioni non supportate/fuori ciclo di vita sono sconosciute, non sicure. Il checker non conferma lo sfruttamento malevolo. Per gli apparati non corretti esposti a Internet, applicare urgentemente le patch ed eseguire una valutazione indipendente di incidente/compromissione.
python -m unittest discover -s tests -v
Ispeziona solo configurazioni di cui sei proprietario o che hai il permesso di valutare. Non eseguire mai il commit di esportazioni o risultati reali contenenti dettagli interni. Licenza: MIT. Questo è un progetto indipendente di By Grupo Oruss | Division81 Defensive Security Research, non affiliato né approvato da Citrix/NetScaler.
Fonti: Citrix CTX697096, avviso CISA.
Genera entrambi i formati localmente utilizzando la stessa valutazione in sola lettura:
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 \
--tcp-params examples/tcpparam.txt --json report.json --html report.html
In Windows PowerShell, esegui il comando su una sola riga oppure usa il backtick di PowerShell per la continuazione.
Apri report.html localmente in un browser; è un file autonomo con CSS incorporato, senza script esterni, asset o telemetria. --output rimane un alias retrocompatibile per --json. L'HTML fornisce un riepilogo KPI, i risultati per tutte e otto le CVE, le azioni consigliate e le avvertenze sulla valutazione. Esclude la configurazione grezza e le righe corrispondenti; ciononostante, verifica i report prima di condividerli.
Importante: Le valutazioni su build corrette non costituiscono prova dell'assenza di compromissione storica. Consulta il bollettino Citrix e le linee guida CISA per l'applicazione delle patch, gli indicatori di compromissione e la conservazione forense.