プローブを変更する場合は、PROBE_PREFIXES を変更せず、長さをスイープしないでください。 575 バイトは重要です。他の PrefixList の長さはアプライアンスを不安定にする可能性があり、少なくとも1つのケースではこの修正を含むビルドで発生しました。したがって、長さのスイープはこのバグを調査する安全な方法ではなく、短くしても安全になるわけではありません。

仕組み

パッチ適用済みビルドは、過大な PrefixList を、特徴的なメッセージとともにきれいに拒否します。未適用ビルドはパーサーをすり抜け、一般的な内部エラーを返します。同一のリクエストに対して、2つの異なる応答があります:

2つのルートが試行され、最初に IdP が試行され、いずれかが応答を返すとすぐに停止します。どちらか一方だけで十分であり、一緒に使用すると両方の SAML ロールをカバーします:

IdP ルートが最初に試行されるのは、2つのうちでより堅牢だからです。これは、Issuer 値、AssertionConsumerServiceURL、クロックスキューに影響されません。アプライアンスのスキュー許容範囲を大きく外れた IssueInstant でも正しく判別します。カノナライゼーションは署名チェックと同様に時間チェックよりも先に実行されるためです。

ルート1の AuthnRequest は署名されている必要があります。 署名されていないものは、パッチ適用済みおよび未適用ビルドの両方で 200 Malformed Assertion sent to Netscaler を返し、これはパッチ適用済みのシグナルとバイト単位で同一です。したがって、署名ブロックを省略したプローブは、すべてのアプライアンスをパッチ適用済みとして報告します。署名は有効である必要はなく、このツールの署名も有効ではありません。署名が存在することだけが必要です。その SignedInfo が PrefixList をカノナライザーに運ぶからです。

修正境界での動作

両方のサポート対象ブランチは、両方のルートで、修正ビルドのちょうどその時点で動作を変更します:

13.1-63.16 と 63.18 は連続したリリースであるため、この変更は中間ビルド間のドリフトではなく、パッチ自体に起因します。

これらはこの修正が最初に登場したビルドであり、プローブはまさにその移行を検出します。これらはもはやアップグレード先のビルドではありません。その後のセキュリティアドバイザリがこれらを置き換えたため、13.1-63.18 と 14.1-72.61 はここでは両方とも PATCHED と応答しますが、新しい問題には引き続き露出しています。現在の修正ビルドについては、Remediation を参照してください。

ビルドをフィンガープリントしないのはなぜか?

なぜなら、このバグに対しては、原理的にも機能しないからです。修正の直前と直後のビルドである 13.1-63.16 と 13.1-63.18 は、バイト単位で同一の tmindex.html、base.css、および resources.js を提供します — 修正は Web アセットに一切触れていません。静的アセットのハッシュもブランチ間で衝突するため、ハッシュベースのアプローチでは、脆弱なアプライアンスをパッチ適用済みビルドとして判定し、クリーンと報告する可能性があります。これは検出ツールが持ち得る最悪の障害モードです。したがって、ビルドのフィンガープリントは意図的に実装されていません。パッチ状態はプローブ、または資格情報を持っている場合の show ns version から取得されます。

要件

• Python 3.8+、標準ライブラリのみ — サードパーティのパッケージは不要です。

使用法```bash

single target

./cve_2026_8452_check.py https://gateway.example.com

a specific AAA / Gateway virtual server

./cve_2026_8452_check.py https://gateway.example.com:9443

scan a list, one target per line ('#' comments allowed), compact output

./cve_2026_8452_check.py -f targets.txt --brief

machine-readable output for pipelines

./cve_2026_8452_check.py -f targets.txt --json > results.json

コントロール行は注意深く読む価値があります: 35バイトのリクエストはサイズチェックをクリアし、 その後、古くなった IssueInstant のために拒否されます。一方、575バイトのプローブはそこまで 到達しませんでした。これがメソッド全体が依存する順序です — 正規化はタイムチェックの 前に実行され、署名チェックの前にも実行されます。

パッチ適用済みアプライアンス、 修正ビルドに対する同じリクエスト。異なるのはプローブ行のみです — 過大な PrefixList は内部エラーにフォールスルーせず、名前で拒否されます:```console

Probing patch state (64 prefixes / 575 bytes, confirmed against a 35-byte control) idp /saml/login HTTP 200 "Malformed Assertion": size check rejected the probe idp /saml/login 35-byte control: HTTP 200 "message timestamp outside the appliance's skew tolerance": a different SAML condition, not the size check [ OK ] Size check present (via the IDP route)

https://vpn.example.com via IDP [size-check-present]

コントロールがそれを捉えた。 ここでは、エンドポイントが両方の長さでパッチ適用済みのメッセージで応答したため、 サイズチェックは実行されず、決定的に見える回答は撤回される。これが誤検知 ガードの発動であり、作動した理由は推測に委ねられるのではなく、明示されている：```console

Probing patch state (64 prefixes / 575 bytes, confirmed against a 35-byte control) idp /saml/login HTTP 200 "Malformed Assertion": size check rejected the probe idp /saml/login 35-byte control: HTTP 200 "Malformed Assertion": size check rejected the probe [WARN] Probe and control answered alike, so the size check was never exercised

https://sp-strict.example.com via IDP [flat-response]

The 575-byte probe and the 35-byte control got the same answer, so this endpoint replies the same way whatever it is sent and the size check was never exercised. Unknown, not patched.

機械可読出力（--json）は、試行されたすべてのルートを記録します。 verdict、reason、detail が信頼できるフィールドであり、attempts は生の証拠です。 そのため、個々の試行は、verdict が INCONCLUSIVE であるターゲット上で patched と表示される場合があります:```console $ ./cve_2026_8452_check.py https://vpn.example.com --json [ { "target": "https://vpn.example.com", "verdict": "PATCHED", "reason": "size-check-present", "route": "idp", "detail": "HTTP 200 "Malformed Assertion": size check rejected the probe", "attempts": [ { "route": "idp", "path": "/saml/login", "state": "patched", "detail": "HTTP 200 "Malformed Assertion": size check rejected the probe" }, { "route": "idp", "path": "/saml/login", "state": "control:known-error", "detail": "35-byte control: HTTP 200 "message timestamp outside the appliance's skew tolerance": a different SAML condition, not the size check" } ], "netscaler_indicators": [ "CSP contains citrixng://", "CSP contains com.citrix.nsgclient://", "CSP contains nsgcepa://", "CSP report-uri /nscsp_violation/report_uri", "/vpn/js/rdx/ present (HTTP 404)" ] } ]

そのうち3つは長さ制限です — 過大なPOSTボディ、過大な RelayState、過度に長い抽出ユーザー名。これらが最も重要です。なぜなら、パッチ状態を判別するチェックに到達する前に、リクエストが別の長さチェックによって拒否されたことを意味するからです。これは通常、アプライアンスに問題がないことを意味するのではなく、プローブを別の仮想サーバーに向ける必要があることを意味します。

20のうちの1つは、すべてのIdPルート実行で出現します: コントロールのmessage timestamp outside the appliance's skew tolerance。プローブは固定の IssueInstant を保持しているため、サイズチェックを通過したコントロールは、その古さゆえに拒否されます — これはアプライアンスの特性ではなく、プローブの特性です。20のセット外の応答は、名前付き条件の代わりに、応答自体が最初の行として出力されます。

これらはすべて依然として INCONCLUSIVE を生成し、other-saml-error とタグ付けされます。応答を認識しても、それが PATCHED に昇格することは決してありません。それを実現するのは明示的なパッチ適用済みビルドの応答だけです。また、認識されない応答もすべて、unrecognized-reply として INCONCLUSIVE に分類されます。この認識機能は、ターゲットを分類できなかった理由をオペレーターに伝えるために存在するのであり、分類するために存在するのではありません。

終了コード

2 は不正な呼び出しに対するargparse自身の終了コードであるため、判定コードはこれをスキップします。したがって、ラッパースクリプトは「このアプライアンスは分類できなかった」(3)と「ツールの呼び出し方を誤った」(2)を区別できます。2 を多重定義する方式ではこれができません。

複数ターゲットのスイープ全体では、終了コードは最悪のステータスではなく優先度によって選択されます: VULNERABLE > INCONCLUSIVE > ERROR > クリーン。したがって、到達不能なホストが終了コード内の脆弱な発見を覆い隠すことは決してありません。

制限事項

• これは1つのCVEをチェックするものであり、アプライアンスのパッチレベルをチェックするものではありません。 PATCHED と終了コード 0 は、プローブが到達したパスにCVE-2026-8452のサイズチェックが存在することを意味します。これらは、このバグの後に開示され、後のビルドで修正されたものを含め、他のNetScalerの脆弱性については何も述べていません。このツールの終了コード 0 を、アプライアンスの健全性の証明として受け取らないでください。
• 非脆弱という判定は、プローブしたエンドポイントに限定されます。 前提条件は仮想サーバーごとに適用されます。UNAFFECTED は「ここでは到達不能」を意味し、「このアプライアンスは安全」ではありません。
• ポリシーマッチングがパーサーをゲートします。 /saml/login はアプライアンス全体に適用されますが、IdPポリシーがバインドされていない仮想サーバーでは Matching policy not found と応答し、正規化処理の前にショートサーキットします。プローブのリクエストが満たさない式ルールをポリシーが使用するIdPは、回答を返す代わりに INCONCLUSIVE になります。
• INCONCLUSIVE は健全性の証明ではありません。 これは、沈黙が合格結果と誤認されることがないよう、別の終了コードで意図的に PATCHED と区別されています。
• 最初の要素の背後にSAMLがあるnFactorデプロイメントは INCONCLUSIVE を報告します。 SAMLポリシーが仮想サーバーに直接バインドされるのではなく、nextFactor によって到達されるポリシーラベル内にある場合、未承諾のアサーションは一致するポリシーを見つけられず、正規化処理の前にショートサーキットします。脆弱なビルドで検証され、INCONCLUSIVE が報告されました。デバイスポスチャまたはログインスキーマの最初の要素の背後にあるSAMLは一般的なパターンであるため、nFactorゲートウェイでの INCONCLUSIVE は「おそらく到達可能。show ns version で確認」として扱い、単なる興味本位として扱わないでください。
• 悪用可能性のチェックではありません。 VULNERABLE の判定は、欠落しているサイズチェック、つまりパッチ状態を確認します。攻撃者があなたのビルドで破損をどこまで悪用できるかは測定しません。
• 到達可能性のみ。 結果は、実行元のネットワーク位置に対してアプライアンスが公開しているものを反映します。アプライアンスの前面にあるWAFが応答を覆い隠す可能性があります。

修復

13.1-63.21 以降、または 14.1-73.32 以降にアップグレードしてください(FIPSおよびNDcPP: 14.1-73.32 FIPS、または13.1-FIPSおよび13.1-NDcPPの場合は 13.1-37.277)。

CVE-2026-8452自体の修正は、CTX696604 によると 13.1-63.18 / 14.1-72.61 で初めて提供され、このツールが検出するのはまさにその移行です。これらのビルドはその後、CTX696939(2026-08-19)によって置き換えられました。この勧告は CVE-2026-19489 と CVE-2026-19490 を追加しており、後者はCVSS 9.3の事前認証認証バイパスです。14.1-43.56 / 13.1-61.28 以降のビルドでのその前提条件は、構成済みのSAMLアクションです — したがって、このツールがチェックするバグの対象範囲内にあるアプライアンスは、その脆弱性の対象範囲内でもある可能性が高く、ここでの PATCHED の判定はアップグレードを延期する理由にはなりません。両方の勧告は上記のビルドで解決されます。

12.1または13.0のアプライアンスには修正がなく、今後も提供されません — これらのブランチはサポート終了であり、恒久的に脆弱なものとして扱い、サポート対象のブランチに移行する必要があります。

さらに2つの注意事項:

• HAペアの両方のノードにパッチを適用してください。 パッチ未適用のセカンダリは、引き継いだ瞬間に完全に露出したアプライアンスになります。

• 仮想サーバーのタイプではなく、SAML設定によってインベントリをスコープしてください。 ベンダー勧告の表現(GatewayまたはAAA仮想サーバー)は、トリガー条件よりも広範です。実行中の設定で add authentication samlAction と add authentication samlIdPProfile を、add authentication vserver と add vpn vserver と合わせて確認してください。

  これは推測ではなく、テスト済みです。脆弱であることが確認されたアプライアンス上で、すべてのSAMLオブジェクトを削除し、その場所に非SAML認証要素をバインドし、AAA仮想サーバーを起動して稼働させたままにしました: するとSAMLエンドポイントはすべてのリクエストに対して 404 を返しました。SAML設定がない場合、それらは単にポリシーでゲートされているだけではありません — 存在しないのです。したがって、SAMLが設定されていない仮想サーバーは、このバグの対象範囲外であり、そのようなターゲットでの UNAFFECTED は盲点ではなく実際の回答です。依然として適用される注意点は上記のスコープに関するものです: これは仮想サーバーごとのものであるため、アプライアンスについて結論を出すのではなく、各VIPを確認してください。

CVE-2026-8452は、同じ勧告で5つの関連する脆弱性とともに公開されました。その次に追跡する価値があるのは CVE-2026-8451 です。これはSAML IdPパスにおける事前認証メモリ過読み取りで、実環境での活発な悪用が確認されています。この2つは攻撃対象領域を共有しているため、同じ設定監査で両方をカバーできます。

ライセンス

このコードはMITライセンスの下で配布されています。

法的免責事項

事前の相互同意なしにターゲットを攻撃するためにこのツールを使用することは違法です。該当するすべての地域、州、連邦の法律を遵守する責任はエンドユーザーにあります。開発者は一切の責任を負わず、このプログラムによって引き起こされた誤用または損害について責任を負いません。

関連情報

• Citrix CTX696604 — NetScalerセキュリティ勧告
• Citrix CTX696939 — それらの修正済みビルドを置き換える後続のNetScaler勧告
• watchTowr Labs — CVE-2026-8452技術分析
• NVD — CVE-2026-8452