🚨 CVE-2026-8451 - Уязвимость перечитывания памяти SAML IdP в NetScaler

Уязвимость раскрытия памяти без аутентификации, затрагивающая Citrix NetScaler ADC и NetScaler Gateway, настроенные как поставщик удостоверений SAML (IdP).

---

✨ Обзор

CVE-2026-8451 — это уязвимость раскрытия памяти высокой степени серьезности, вызванная чтением за пределами границ (CWE-125) во время обработки запросов поставщика удостоверений SAML.

Неаутентифицированный злоумышленник может отправить специально сформированные SAML-запросы, чтобы вызвать перечитывание памяти, потенциально раскрывая конфиденциальную память процесса.

📊 Краткая информация об уязвимости

🎯 Потенциальное воздействие

Успешная эксплуатация может раскрыть:

• Артефакты аутентификации
• Секреты времени выполнения
• Конфиденциальную память процесса
• Информацию, связанную с сессией
• Внутренние структуры памяти

🧩 Первопричина

Входящий SAML-запрос
          │
          ▼
 Некорректная проверка XML
          │
          ▼
 Чтение за пределами границ
          │
          ▼
 Раскрытие памяти

📦 Затрагиваемые продукты

Уязвимы только системы, настроенные как поставщик удостоверений SAML (IdP).

✅ Исправленные версии

🛡️ Смягчение последствий

✔ Обновиться немедленно
✔ Отключить SAML IdP, если не используется
✔ Ограничить доступ из Интернета
✔ Мониторить /saml/login
✔ Просматривать журналы аутентификации
✔ Развернуть сигнатуры IDS/IPS
✔ Обнаруживать попытки раскрытия памяти

🔍 Обнаружение

Отслеживайте:

• Чрезмерные запросы к /saml/login
• Некорректные XML-полезные нагрузки
• Неожиданные сбои NetScaler
• Аномалии аутентификации
• Подозрительные утверждения SAML

📈 Статус эксплуатации

[+] CVE-2026-8451 PoC - Ashraf Zaryouh (0xBlackash)
[+] Цель: https://target.example.com
[+] Начало попыток перечитывания памяти...

[-] Попытка 1/12 (заполнение 476) - нет утечки
[-] Попытка 2/12 (заполнение 508) - нет утечки
[+] УСПЕХ! Обнаружена утечка памяти (заполнение: 540)

    Утекшие байты: 312

Шестнадцатеричный дамп:
  66 6f 6f 62 61 72 00 00  de de de de de de de de   |foobar..........|
  0d 0a 41 75 74 68 65 6e  74 69 63 61 74 69 6f 6e   |..Authentication|
  3a 20 53 65 73 73 69 6f  6e 49 44 3d 78 78 78 78   |: SessionID=xxxx|
  de de de de de de de de  0a 0d 55 73 65 72 2d 41   |..........User-A|
  67 65 6e 74 3a 20 4d 6f  7a 69 6c 6c 61 2f 35 2e   |gent: Mozilla/5.|
  ... (more binary data)

ASCII preview:
foobar......Authentication: SessionID=xxxx......User-Agent: Mozilla/5.

📚 Ссылки

• NIST National Vulnerability Database
• Citrix Security Advisory
• watchTowr Labs Research
• CISA (если добавлено)

⚖️ Отказ от ответственности

Этот репозиторий предоставляется только для образовательных, защитных и исследовательских целей в области кибербезопасности. Он не включает код эксплойта или инструкции для несанкционированного доступа. Всегда проводите тестирование безопасности с надлежащей авторизацией.

⭐ Поддержка

Если вы нашли этот репозиторий полезным, поставьте ему ⭐.

Будьте в безопасности • Патчите рано • Защищайтесь постоянно