Если вы изменяете пробную нагрузку, не меняйте PROBE_PREFIXES и не перебирайте длины. 575 байт — несущая конструкция. Другие длины PrefixList могут дестабилизировать устройство, по крайней мере в одном случае на сборке, содержащей это исправление, поэтому перебор длин — небезопасный способ исследования этой уязвимости, и меньшее значение не безопаснее.

Как это работает

Исправленные сборки чётко отклоняют слишком большой PrefixList с характерным сообщением. Неисправленные сборки проходят через парсер и возвращают общую внутреннюю ошибку. Один идентичный запрос — два разных ответа:

Пробуются два маршрута, сначала IdP, с остановкой, как только один даёт ответ. Каждого из них достаточно по отдельности, а вместе они охватывают обе роли SAML:

Маршрут IdP идёт первым, потому что он более устойчив из двух. Он нечувствителен к значению Issuer, к AssertionConsumerServiceURL и к расхождению часов — IssueInstant, значительно выходящий за пределы допуска устройства по расхождению времени, по-прежнему корректно различает сборки, поскольку канонизация предшествует и проверке времени, и проверке подписи.

AuthnRequest на маршруте 1 должен быть подписан. Неподписанный запрос возвращает 200 Malformed Assertion sent to Netscaler на исправленных и неисправленных сборках, что побайтно идентично сигналу исправленной сборки, поэтому пробная нагрузка без блока подписи сообщает о каждом устройстве как об исправленном. Подпись не обязана быть действительной, и у этого инструмента она не действительна; она просто должна присутствовать, потому что её SignedInfo — это то, что доставляет PrefixList в канонизатор.

Поведение на границе исправления

Обе поддерживаемые ветви меняют поведение ровно на своей исправленной сборке, на обоих маршрутах:

13.1-63.16 и 63.18 — последовательные выпуски, поэтому изменение относится к самому исправлению, а не к дрейфу между промежуточными сборками.

Это сборки, в которых впервые появилось это исправление, и пробная нагрузка обнаруживает именно этот переход. Они больше не являются сборками, до которых следует обновляться: более поздние бюллетени вытеснили их, поэтому 13.1-63.18 и 14.1-72.61 здесь обе отвечают PATCHED, оставаясь при этом подверженными более новым проблемам. См. Remediation для актуальных исправленных сборок.

Почему не использовать отпечаток сборки?

Потому что это не может работать с этой уязвимостью даже в принципе. 13.1-63.16 и 13.1-63.18, сборки непосредственно по обе стороны от исправления, отдают побайтно идентичные tmindex.html, base.css и resources.js — исправление не затрагивает ни одного веб-ресурса. Хэши статических ресурсов также совпадают между ветвями, поэтому подход на основе хэшей может определить уязвимое устройство как исправленную сборку и сообщить о нём как о чистом, что является наихудшим режимом отказа для инструмента обнаружения. Поэтому определение сборки по отпечатку намеренно не реализовано. Состояние исправления определяется пробной нагрузкой или show ns version, если у вас есть учётные данные.

Требования

• Python 3.8+, только стандартная библиотека — без сторонних пакетов.

Использование```bash

single target

./cve_2026_8452_check.py https://gateway.example.com

a specific AAA / Gateway virtual server

./cve_2026_8452_check.py https://gateway.example.com:9443

scan a list, one target per line ('#' comments allowed), compact output

./cve_2026_8452_check.py -f targets.txt --brief

machine-readable output for pipelines

./cve_2026_8452_check.py -f targets.txt --json > results.json

Контрольную строку стоит прочитать внимательно: 35-байтовый запрос проходит проверку размера и затем отклоняется из-за устаревшего IssueInstant, тогда как 575-байтовый зонд до этого не дошёл. Именно на этом порядке держится весь метод — канонизация выполняется до проверки времени, так же как и до проверки подписи.

Исправленное устройство, тот же запрос к сборке с исправлением. Отличается только строка зонда — чрезмерно большой PrefixList отклоняется по имени, а не проваливается во внутреннюю ошибку:```console

Probing patch state (64 prefixes / 575 bytes, confirmed against a 35-byte control) idp /saml/login HTTP 200 "Malformed Assertion": size check rejected the probe idp /saml/login 35-byte control: HTTP 200 "message timestamp outside the appliance's skew tolerance": a different SAML condition, not the size check [ OK ] Size check present (via the IDP route)

https://vpn.example.com via IDP [size-check-present]

Контроль поймал это. Здесь конечная точка ответила пропатченным сообщением при обеих длинах, поэтому проверка размера так и не была задействована, и выглядящий решающим ответ снимается. Это срабатывание защиты от ложных срабатываний, и причина срабатывания указана прямо, а не оставлена для самостоятельного вывода:```console

Probing patch state (64 prefixes / 575 bytes, confirmed against a 35-byte control) idp /saml/login HTTP 200 "Malformed Assertion": size check rejected the probe idp /saml/login 35-byte control: HTTP 200 "Malformed Assertion": size check rejected the probe [WARN] Probe and control answered alike, so the size check was never exercised

https://sp-strict.example.com via IDP [flat-response]

The 575-byte probe and the 35-byte control got the same answer, so this endpoint replies the same way whatever it is sent and the size check was never exercised. Unknown, not patched.

Машиночитаемый вывод (--json), в котором фиксируется каждый испробованный маршрут. verdict, reason и detail — основные поля; attempts — это исходные данные, поэтому отдельная попытка может указывать patched для цели, вердикт которой — INCONCLUSIVE:```console $ ./cve_2026_8452_check.py https://vpn.example.com --json [ { "target": "https://vpn.example.com", "verdict": "PATCHED", "reason": "size-check-present", "route": "idp", "detail": "HTTP 200 "Malformed Assertion": size check rejected the probe", "attempts": [ { "route": "idp", "path": "/saml/login", "state": "patched", "detail": "HTTP 200 "Malformed Assertion": size check rejected the probe" }, { "route": "idp", "path": "/saml/login", "state": "control:known-error", "detail": "35-byte control: HTTP 200 "message timestamp outside the appliance's skew tolerance": a different SAML condition, not the size check" } ], "netscaler_indicators": [ "CSP contains citrixng://", "CSP contains com.citrix.nsgclient://", "CSP contains nsgcepa://", "CSP report-uri /nscsp_violation/report_uri", "/vpn/js/rdx/ present (HTTP 404)" ] } ]

Три из них — ограничения длины — слишком большое тело POST-запроса, слишком большой RelayState, слишком длинное извлечённое имя пользователя. Они важнее всего, потому что означают, что запрос был отклонён другим ограничением длины до того, как дошёл до того, которое различает состояние патча. Обычно это означает, что пробу нужно направить на другой виртуальный сервер, а не что устройство в порядке.

Один из 20 появляется при каждом запуске по маршруту IdP: у контрольного запроса message timestamp outside the appliance's skew tolerance. Проба несёт фиксированный IssueInstant, поэтому контроль, прошедший проверку размера, затем отклоняется из-за возраста — это свойство пробы, а не устройства. Ответ вне набора из 20 выводится отдельной первой строкой вместо именованного условия.

Все они по-прежнему дают INCONCLUSIVE, с тегом other-saml-error. Распознавание ответа никогда не повышает его до PATCHED: только явный ответ о пропатченной сборке делает это, а любой нераспознанный ответ также переходит в INCONCLUSIVE — как unrecognized-reply. Распознавание существует для того, чтобы сообщить оператору почему цель не удалось классифицировать, а не для её классификации.

Exit codes

2 — это собственный код выхода argparse для некорректного вызова, поэтому коды вердиктов пропускают его. Обёрточный скрипт может отличить «это устройство не удалось классифицировать» (3) от «я неправильно вызвал инструмент» (2), чего не смогла бы сделать схема, перегружающая 2.

При массовом сканировании нескольких целей код выбирается по приоритету, а не по наихудшему статусу: VULNERABLE > INCONCLUSIVE > ERROR > чисто. Поэтому недостижимый хост никогда не маскирует уязвимую находку в коде выхода.

Limitations

• Это проверяет один CVE, а не уровень патчей устройства. PATCHED и код выхода 0 означают, что проверка размера для CVE-2026-8452 присутствует на пути, которого достигла проба. Они ничего не говорят о любых других уязвимостях NetScaler, включая те, что были раскрыты после этой ошибки и исправлены в более поздних сборках. Не воспринимайте код выхода 0 от этого инструмента как подтверждение полной исправности устройства.
• Вердикт об отсутствии уязвимости ограничен проверенной конечной точкой. Предусловие действует для каждого виртуального сервера. UNAFFECTED означает «недоступно здесь», а не «это устройство безопасно».
• Сопоставление политик ограничивает анализатор. /saml/login действует на всё устройство, но на виртуальном сервере без привязанной политики IdP он отвечает Matching policy not found и завершается до канонизатора. IdP, чья политика использует правило выражения, которое не удовлетворяет запрос пробы, попадёт в INCONCLUSIVE, а не даст ответ.
• INCONCLUSIVE — это не подтверждение полной исправности. Он намеренно отличается от PATCHED отдельным кодом выхода, чтобы молчание никогда не принималось за успешный результат.
• Развёртывания nFactor с SAML за первым фактором сообщают INCONCLUSIVE. Когда политика SAML находится в метке политики, достигаемой через nextFactor, а не привязана напрямую к виртуальному серверу, непрошеная ассерция не находит подходящей политики и завершается до канонизатора. Проверено на уязвимой сборке, которая сообщила INCONCLUSIVE. Поскольку SAML за первым фактором контроля состояния устройства или схемой входа — распространённый паттерн, относитесь к INCONCLUSIVE на шлюзе nFactor как к «вероятно достижимо, подтвердите с помощью show ns version», а не как к курьёзу.
• Это не проверка эксплуатации. Вердикт VULNERABLE подтверждает отсутствие проверки размера, что и является состоянием патча. Он не измеряет, насколько далеко атакующий мог бы продвинуть повреждение в вашей сборке.
• Только достижимость. Результат отражает то, что устройство открывает для сетевой позиции, из которой вы его запускаете. WAF перед устройством может скрыть ответ.

Remediation

Обновитесь до 13.1-63.21 или новее, либо до 14.1-73.32 или новее (FIPS и NDcPP: 14.1-73.32 FIPS, или 13.1-37.277 для 13.1-FIPS и 13.1-NDcPP).

Исправление самого CVE-2026-8452 впервые появилось в 13.1-63.18 / 14.1-72.61 согласно CTX696604, и именно этот переход обнаруживает данный инструмент. С тех пор эти сборки были заменены CTX696939 (2026-08-19), который добавляет CVE-2026-19489 и CVE-2026-19490, причём последний — это CVSS 9.3 обход аутентификации до аутентификации (pre-authentication). Его предусловие на сборках, начиная с 14.1-43.56 / 13.1-61.28, — это настроенное действие SAML — поэтому устройство, попадающее в область действия ошибки, которую проверяет этот инструмент, вероятно, попадает и в область действия той ошибки, и вердикт PATCHED здесь не является причиной откладывать обновление. Оба бюллетеня закрываются указанными выше сборками.

Устройства на 12.1 или 13.0 не имеют исправления и не получат его — эти ветви достигли конца жизненного цикла, и их следует считать постоянно уязвимыми и перенести на поддерживаемую ветвь.

Ещё два замечания:

• Обновляйте оба узла пары HA. Необновлённый вторичный узел — это полностью открытое устройство в момент переключения на него.

• Определяйте область охвата по конфигурации SAML, а не по типу виртуального сервера. Формулировка в бюллетене вендора (Gateway или AAA virtual server) шире, чем условие срабатывания. Проверяйте текущую конфигурацию на наличие add authentication samlAction и add authentication samlIdPProfile наряду с add authentication vserver и add vpn vserver.

  Это проверено, а не выведено. На подтверждённо уязвимом устройстве мы удалили все объекты SAML, привязали вместо них не-SAML фактор аутентификации и оставили виртуальные серверы AAA работать: конечные точки SAML после этого возвращали 404 на каждый запрос. Они не просто ограничены политиками без конфигурации SAML — их не существует. Поэтому виртуальный сервер без SAML действительно находится вне области действия этой ошибки, и UNAFFECTED на такой цели — это настоящий ответ, а не слепое пятно. Оговорка, которая по-прежнему действует, — это ограничение области выше: оно применяется к каждому виртуальному серверу отдельно, поэтому подтверждайте каждый VIP, а не делайте выводы об устройстве в целом.

CVE-2026-8452 вышел вместе с пятью «родственниками» в одном бюллетене. Тот, за которым стоит следить рядом с ним, — это CVE-2026-8451, предварительно аутентифицированное чтение памяти за пределами буфера (memory overread) в пути SAML IdP, которое активно эксплуатируется в реальных атаках. Эти две уязвимости имеют общую поверхность атаки, поэтому одна и та же проверка конфигурации покрывает обе.

License

Этот код распространяется под лицензией MIT.

Legal Disclaimer

Использование этого инструмента для атак на цели без предварительного взаимного согласия незаконно. Ответственность за соблюдение всех применимых местных, государственных и федеральных законов лежит на конечном пользователе. Разработчики не несут ответственности и не отвечают за любое неправомерное использование или ущерб, причинённый этой программой.

See Also

• Citrix CTX696604 — бюллетень безопасности NetScaler
• Citrix CTX696939 — более поздний бюллетень NetScaler, заменяющий указанные исправленные сборки
• watchTowr Labs — технический анализ CVE-2026-8452
• NVD — CVE-2026-8452