프로브를 수정하는 경우 PROBE_PREFIXES를 변경하지 말고 길이를 스윕하지 마십시오. 575바이트는 하중을 견디는 값입니다. 다른 PrefixList 길이는 어플라이언스를 불안정하게 만들 수 있으며, 최소 한 건은 이 수정 사항이 포함된 빌드에서 발생했습니다. 따라서 길이 스윕은 이 버그를 탐구하는 안전한 방법이 아니며, 더 짧다고 더 안전한 것도 아닙니다.

작동 방식

패치된 빌드는 과도하게 큰 PrefixList를 특징적인 메시지와 함께 깔끔하게 거부합니다. 패치되지 않은 빌드는 파서를 통과하여 일반 내부 오류를 반환합니다. 동일한 요청 하나에 두 가지 다른 응답:

두 경로가 시도되며, IdP가 먼저 시도되고 하나가 응답을 주는 즉시 중단됩니다. 각각 단독으로도 충분하며, 함께 사용하면 두 SAML 역할을 모두 다룹니다:

IdP 경로가 먼저 시도되는 이유는 둘 중 더 견고하기 때문입니다. 이 경로는 Issuer 값, AssertionConsumerServiceURL, 시계 오차(clock skew)에 영향을 받지 않습니다. 어플라이언스의 오차 허용 범위를 크게 벗어난 IssueInstant도 여전히 정확히 판별하는데, 이는 표준화가 시간 검사와 서명 검사보다 먼저 수행되기 때문입니다.

경로 1의 AuthnRequest는 반드시 서명되어야 합니다. 서명되지 않은 요청은 패치된 빌드와 패치되지 않은 빌드 모두에서 200 Malformed Assertion sent to Netscaler를 반환하며, 이는 패치된 신호와 바이트 단위로 동일합니다. 따라서 서명 블록을 생략한 프로브는 모든 어플라이언스를 패치된 것으로 보고합니다. 서명은 유효할 필요가 없으며, 이 도구의 서명도 유효하지 않습니다. 단지 존재하기만 하면 됩니다. 그 SignedInfo가 PrefixList를 표준화기로 전달하는 수단이기 때문입니다.

수정 경계에서의 동작

두 지원 브랜치 모두 수정 빌드에서 정확히 동작이 바뀌며, 두 경로 모두 동일합니다:

13.1-63.16과 63.18은 연속된 릴리스이므로, 이 변경은 중간 빌드에 걸친 변동이 아니라 패치 자체에 기인합니다.

이것들은 이 수정 사항이 처음 등장한 빌드이며, 프로브는 정확히 그 전환을 감지합니다. 이제 그것들은 업그레이드 대상 빌드가 아닙니다. 이후 보안 권고가 이를 대체했으므로, 13.1-63.18과 14.1-72.61은 여기서 PATCHED로 응답하지만 최신 문제에는 여전히 노출되어 있습니다. 현재 수정 빌드는 Remediation을 참조하십시오.

빌드 지문을 사용하지 않는 이유는?

이 버그에는 원리적으로도 동작할 수 없기 때문입니다. 13.1-63.16과 13.1-63.18은 수정 바로 양쪽 빌드로, 바이트 단위로 동일한 tmindex.html, base.css 및 resources.js를 제공합니다. 수정 사항은 어떤 웹 자산도 건드리지 않습니다. 정적 자산 해시도 브랜치 간에 충돌하므로, 해시 기반 접근법은 취약한 어플라이언스를 패치된 빌드로 판정하여 정상으로 보고할 수 있으며, 이는 탐지 도구가 가질 수 있는 최악의 실패 모드입니다. 따라서 빌드 지문 방식은 의도적으로 구현되지 않았습니다. 패치 상태는 프로브 또는 자격 증명이 있는 경우 show ns version을 통해 얻습니다.

요구 사항

• Python 3.8+, 표준 라이브러리만 사용 — 타사 패키지 없음.

사용법```bash

single target

./cve_2026_8452_check.py https://gateway.example.com

a specific AAA / Gateway virtual server

./cve_2026_8452_check.py https://gateway.example.com:9443

scan a list, one target per line ('#' comments allowed), compact output

./cve_2026_8452_check.py -f targets.txt --brief

machine-readable output for pipelines

./cve_2026_8452_check.py -f targets.txt --json > results.json

The control line is worth reading closely: the 35-byte request clears the size check and is then rejected for its stale IssueInstant, while the 575-byte probe never got that far. That is the ordering the whole method rests on — canonicalization runs before the time check, just as it runs before the signature check.

A patched appliance, the same request against the fix build. Only the probe line differs — the oversized PrefixList is rejected by name instead of falling through to the internal error:```console

Probing patch state (64 prefixes / 575 bytes, confirmed against a 35-byte control) idp /saml/login HTTP 200 "Malformed Assertion": size check rejected the probe idp /saml/login 35-byte control: HTTP 200 "message timestamp outside the appliance's skew tolerance": a different SAML condition, not the size check [ OK ] Size check present (via the IDP route)

https://vpn.example.com via IDP [size-check-present]

제어 검사가 이를 포착했습니다. 여기서 엔드포인트는 두 길이 모두에서 패치된 메시지로 응답했으므로 크기 검사는 실행되지 않았고, 결정적으로 보였던 답변은 철회되었습니다. 이는 오탐 방지 가드가 발동한 것이며, 발동한 이유는 추측에 맡겨지지 않고 명시적으로 서술됩니다:```console

Probing patch state (64 prefixes / 575 bytes, confirmed against a 35-byte control) idp /saml/login HTTP 200 "Malformed Assertion": size check rejected the probe idp /saml/login 35-byte control: HTTP 200 "Malformed Assertion": size check rejected the probe [WARN] Probe and control answered alike, so the size check was never exercised

https://sp-strict.example.com via IDP [flat-response]

The 575-byte probe and the 35-byte control got the same answer, so this endpoint replies the same way whatever it is sent and the size check was never exercised. Unknown, not patched.

기계 판독 가능한 출력 (--json)은 시도된 모든 경로를 기록합니다. verdict, reason 및 detail은 공식 필드이며, attempts는 원시 증거이므로 개별 시도는 verdict가 INCONCLUSIVE인 대상에서 patched로 읽힐 수 있습니다:```console $ ./cve_2026_8452_check.py https://vpn.example.com --json [ { "target": "https://vpn.example.com", "verdict": "PATCHED", "reason": "size-check-present", "route": "idp", "detail": "HTTP 200 "Malformed Assertion": size check rejected the probe", "attempts": [ { "route": "idp", "path": "/saml/login", "state": "patched", "detail": "HTTP 200 "Malformed Assertion": size check rejected the probe" }, { "route": "idp", "path": "/saml/login", "state": "control:known-error", "detail": "35-byte control: HTTP 200 "message timestamp outside the appliance's skew tolerance": a different SAML condition, not the size check" } ], "netscaler_indicators": [ "CSP contains citrixng://", "CSP contains com.citrix.nsgclient://", "CSP contains nsgcepa://", "CSP report-uri /nscsp_violation/report_uri", "/vpn/js/rdx/ present (HTTP 404)" ] } ]

그중 세 가지는 길이 제한입니다 — 지나치게 큰 본문, 지나치게 큰 RelayState, 지나치게 긴 추출된 사용자 이름. 이 세 가지가 가장 중요합니다. 요청이 패치 상태를 구분하는 길이 검사에 도달하기 전에 다른 길이 검사에서 거부되었음을 의미하기 때문입니다. 이는 일반적으로 어플라이언스가 괜찮다는 뜻이 아니라 프로브가 다른 가상 서버를 대상으로 해야 한다는 뜻입니다.

20가지 중 하나는 모든 IdP 경로 실행에서 나타납니다: 바로 message timestamp outside the appliance's skew tolerance 제어 항목입니다. 프로브는 고정된 IssueInstant를 전달하므로 크기 검사를 통과한 제어 항목은 이후 연식 때문에 거부됩니다 — 이는 어플라이언스의 속성이 아니라 프로브의 속성입니다. 20가지 집합에 속하지 않는 응답은 명명된 조건 대신 자체 첫 줄로 출력됩니다.

이 모든 것은 여전히 INCONCLUSIVE를 생성하며 other-saml-error로 태그됩니다. 응답을 인식한다고 해서 PATCHED로 승격되지는 않습니다. 오직 명시적인 패치 빌드 응답만 그렇게 하며, 인식되지 않은 모든 응답도 unrecognized-reply로 INCONCLUSIVE로 귀결됩니다. 이 인식 기능은 대상이 분류되지 못한 이유를 운영자에게 알려주기 위한 것이지, 분류하기 위한 것이 아닙니다.

Exit codes

2는 잘못된 호출에 대한 argparse 자체의 종료 코드이므로 verdict 코드는 이를 건너뜁니다. 따라서 래퍼 스크립트는 "이 어플라이언스를 분류할 수 없음"(3)과 "도구를 잘못 호출함"(2)을 구분할 수 있으며, 2를 중복 사용하는 방식으로는 불가능합니다.

다중 대상 스캔에서 코드는 최악의 상태가 아닌 우선순위로 선택됩니다: VULNERABLE > INCONCLUSIVE > ERROR > 정상. 따라서 도달 불가능한 호스트는 종료 코드에서 취약한 발견을 결코 가리지 않습니다.

Limitations

• 이 도구는 하나의 CVE만 확인하며 어플라이언스의 패치 수준을 확인하지 않습니다. PATCHED 및 종료 코드 0은 프로브가 도달한 경로에 CVE-2026-8452 크기 검사가 존재함을 의미합니다. 이는 이 버그 이후에 공개되고 이후 빌드에서 수정된 다른 NetScaler 취약점에 대해서는 아무것도 말해주지 않습니다. 이 도구의 종료 코드 0을 어플라이언스에 대한 완전한 건강 상태로 해석하지 마십시오.
• 취약하지 않다는 판정은 프로브한 엔드포인트에 한정됩니다. 선행 조건은 가상 서버별입니다. UNAFFECTED는 "여기서 도달 불가능"을 의미하지 "이 어플라이언스는 안전함"을 의미하지 않습니다.
• 정책 매칭이 파서의 관문 역할을 합니다. /saml/login은 어플라이언스 전체에 적용되지만 바인딩된 IdP 정책이 없는 가상 서버에서는 Matching policy not found로 응답하고 canonicalizer 앞에서 단락됩니다. 프로브의 요청을 충족하지 않는 표현식 규칙을 사용하는 정책을 가진 IdP는 응답 대신 INCONCLUSIVE로 귀결됩니다.
• INCONCLUSIVE는 완전한 건강 상태가 아닙니다. 침묵이 통과 결과로 오인되지 않도록 별도의 종료 코드로 의도적으로 PATCHED와 구분됩니다.
• 첫 번째 요소 뒤에 SAML이 있는 nFactor 배포는 INCONCLUSIVE를 보고합니다. SAML 정책이 가상 서버에 직접 바인딩되는 대신 nextFactor로 도달하는 정책 라벨에 있는 경우, 요청되지 않은 assertion은 일치하는 정책을 찾지 못하고 canonicalizer 앞에서 단락됩니다. 취약한 빌드에서 검증했으며 INCONCLUSIVE를 보고했습니다. 디바이스 자세 또는 로그인 스키마 첫 번째 요소 뒤의 SAML은 일반적인 패턴이므로 nFactor 게이트웨이에서의 INCONCLUSIVE는 호기심이 아니라 "아마도 도달 가능, show ns version으로 확인"으로 취급하십시오.
• 악용 확인이 아닙니다. VULNERABLE 판정은 패치 상태인 누락된 크기 검사를 확인합니다. 공격자가 빌드에서 얼마나 멀리 손상을 진행할 수 있는지는 측정하지 않습니다.
• 단지 도달 가능성만을 나타냅니다. 결과는 어플라이언스가 도구를 실행하는 네트워크 위치에 노출하는 것을 반영합니다. 어플라이언스 앞의 WAF는 응답을 가릴 수 있습니다.

Remediation

13.1-63.21 이상 또는 14.1-73.32 이상으로 업그레이드하십시오 (FIPS 및 NDcPP: 14.1-73.32 FIPS, 또는 13.1-FIPS 및 13.1-NDcPP의 경우 13.1-37.277).

CVE-2026-8452 자체에 대한 수정은 CTX696604에 따라 13.1-63.18 / 14.1-72.61에서 처음 제공되었으며, 이 도구가 감지하는 전환이 바로 그것입니다. 이후 해당 빌드는 CTX696939 (2026-08-19)로 대체되었으며, 이 게시판은 CVE-2026-19489 및 CVE-2026-19490을 추가합니다. 후자는 CVSS 9.3의 사전 인증 인증 우회입니다. 14.1-43.56 / 13.1-61.28 이후 빌드에서의 선행 조건은 구성된 SAML 액션입니다 — 따라서 이 도구가 확인하는 버그의 범위에 해당하는 어플라이언스는 해당 버그의 범위에도 해당할 가능성이 높으며, 여기서 PATCHED 판정이 나왔다고 업그레이드를 미룰 이유가 되지는 않습니다. 두 게시판 모두 위 빌드로 해결됩니다.

12.1 또는 13.0을 사용하는 어플라이언스는 수정이 없으며 앞으로도 제공되지 않습니다 — 해당 브랜치는 수명 종료 상태이므로 영구적으로 취약한 것으로 간주하고 지원되는 브랜치로 마이그레이션해야 합니다.

두 가지 추가 참고 사항:

• HA 쌍의 두 노드를 모두 패치하십시오. 패치되지 않은 보조 노드는 인계받는 순간 완전히 노출된 어플라이언스입니다.

• 가상 서버 유형이 아닌 SAML 구성으로 인벤토리 범위를 정하십시오. 공급업체 권고의 표현(Gateway 또는 AAA 가상 서버)은 트리거 조건보다 더 넓습니다. 실행 중인 구성에서 add authentication samlAction 및 add authentication samlIdPProfile을 add authentication vserver 및 add vpn vserver와 함께 확인하십시오.

  이는 추론이 아니라 테스트된 내용입니다. 취약함이 확인된 어플라이언스에서 모든 SAML 개체를 제거하고 그 자리에 SAML이 아닌 인증 요소를 바인딩한 후 AAA 가상 서버를 계속 실행 상태로 두었습니다. 그러자 SAML 엔드포인트는 모든 요청에 404를 반환했습니다. SAML 구성 없이 단순히 정책으로 차단된 것이 아니라 아예 존재하지 않게 된 것입니다. 따라서 SAML이 없는 가상 서버는 이 버그의 범위에서 진정으로 제외되며, 그러한 대상에서의 UNAFFECTED는 맹점이 아니라 실제 답변입니다. 여전히 적용되는 주의 사항은 위의 범위 지정에 관한 것입니다: 가상 서버별이므로 어플라이언스에 대해 결론 내리지 말고 각 VIP를 확인하십시오.

CVE-2026-8452는 동일한 게시판에서 5개의 형제 취약점과 함께 공개되었습니다. 그중 주목할 만한 것은 CVE-2026-8451로, SAML IdP 경로의 사전 인증 메모리 초과 읽기이며 실제 환경에서 활발히 악용되었습니다. 두 취약점은 공격 표면을 공유하므로 동일한 구성 감사로 둘 다를 다룰 수 있습니다.

License

이 코드는 MIT 라이선스 하에 배포됩니다.

Legal Disclaimer

사전 상호 동의 없이 대상을 공격하는 데 이 도구를 사용하는 것은 불법입니다. 모든 해당 지역, 주, 연방 법률을 준수할 책임은 최종 사용자에게 있습니다. 개발자는 어떠한 책임도 지지 않으며 이 프로그램으로 인한 오용이나 손해에 대해 책임지지 않습니다.

See Also

• Citrix CTX696604 — NetScaler 보안 게시판
• Citrix CTX696939 — 해당 수정 빌드를 대체하는 이후 NetScaler 게시판
• watchTowr Labs — CVE-2026-8452 기술 분석
• NVD — CVE-2026-8452