CVE-2026-88773 - NetScaler nsppe 32ビットチャンクサイズアキュムレータのラップアラウンド

by Fyyre - https://github.com/Fyyre

NetScaler nsppe の HTTP/1.1 チャンクボディパーサーにおける HTTP リクエストスマグリング問題の概念実証です。

9桁のチャンクサイズ値（100000005）がオーバーフローチェックなしで32ビットレジスタに累積され、暗黙的に5にラップアラウンドします。プロキシは元のフレーミングを転送しますが、リクエストがどこで終わるかを判断するためにラップアラウンドしたサイズを使用します。完全な64ビット長を計算する正しいバックエンドと、すでにリクエストを終了したプロキシは、メッセージ境界について一致しなくなります。

観測される結果

フローA（64ビットバックエンド）：接続のウェッジ。バックエンドは決して到着しない約4 GBのボディを待機します。
フローB（バックエンドも32ビットに切り捨てる場合）：末尾のバイトが2番目の独立したリクエストとして再分類され、実行されます。

使用方法

python3 88773.py <host> [--port 443] [--sni poc] [--plain] [--flow {a,b,both}] [--timeout 5] [-v]

認証は不要です。唯一の前提条件は、アプライアンス上の HTTP 仮想サーバーへの到達可能性です。

コントロール

スクリプトはまずチャンク形式の POST と、パイプライン化された2つの GET を送信します。これらは、スマグルペイロードが試行される前に、ターゲットが単一リクエストと複数リクエストの両方のトラフィックをリレーすることを確認します。これらの人々が詳細な調査を行いました。ぜひ読むことを強くお勧めします -> https://github.com/Scyrix-LLC/CVE-2026-88773

注意事項

ペイロードは単一の122バイトの TCP セグメントです（85バイトのプレフィックス + 37バイトのトレーラー）。
検出はタイムアウト（フローA）または後続のレスポンスにスマグルされたパスが現れること（フローB）に依存します。
ラボの VPX（NetScaler NS14.1: Build 12.30.nc, Date: Nov 22 2023, 10:31:37）に対してテスト済み - 結果はバックエンド自身のチャンクサイズ処理に依存します。

これは研究用の概念実証です。武器化は含まれていません（すみません！）

CVE-2026-88773