CVE-2026-88773 - NetScaler nsppe 32비트 청크 크기 누산기 랩어라운드

작성자 Fyyre - https://github.com/Fyyre

NetScaler nsppe HTTP/1.1 청크 본문 파서의 HTTP 요청 스머글링 취약점에 대한 개념 증명입니다.

9자리 청크 크기 값(100000005)이 오버플로 검사 없이 32비트 레지스터에 누산되어 조용히 5로 랩어라운드됩니다. 프록시는 원래의 프레이밍을 전달하지만, 요청이 어디서 끝나는지 결정할 때는 랩어라운드된 크기를 사용합니다. 전체 64비트 길이를 계산하는 올바른 백엔드와 이미 요청 처리를 끝낸 프록시는 이제 메시지 경계에 대해 서로 다른 판단을 하게 됩니다.

관찰된 결과

• Flow A (64비트 백엔드): 연결 교착. 백엔드는 결코 도착하지 않을 약 4GB의 본문을 기다립니다.
• Flow B (백엔드도 32비트로 잘라내는 경우): 후행 바이트가 두 번째의 독립적인 요청으로 재분류되어 실행됩니다.

사용법

python3 88773.py <host> [--port 443] [--sni poc] [--plain] [--flow {a,b,both}] [--timeout 5] [-v]

인증은 필요하지 않습니다. 유일한 전제 조건은 어플라이언스의 HTTP 가상 서버에 접근할 수 있다는 것입니다.

제어 확인

스크립트는 먼저 청크 POST와 한 쌍의 파이프라인된 GET을 전송합니다. 이를 통해 스머글 페이로드를 시도하기 전에 대상이 단일 요청과 다중 요청 트래픽을 모두 중계하는지 확인합니다. 다음 분들이 상세한 연구를 수행했습니다. 읽어보실 것을 강력히 권장합니다 -> https://github.com/Scyrix-LLC/CVE-2026-88773

참고 사항

• 페이로드는 단일 122바이트 TCP 세그먼트입니다(85바이트 접두사 + 37바이트 트레일러).
• 탐지는 타임아웃(Flow A) 또는 이후 응답에서 스머글된 경로의 등장(Flow B)에 의존합니다.
• 랩 VPX에서 테스트되었습니다 (NetScaler NS14.1: Build 12.30.nc, Date: Nov 22 2023, 10:31:37 - 결과는 백엔드 자체의 청크 크기 처리 방식에 따라 달라집니다.

이것은 연구용 개념 증명입니다. 무기화는 포함되어 있지 않습니다 (죄송합니다!)