Защитный сканер безопасности для Citrix NetScaler ADC & Gateway — CVE-2026-88771 – CVE-2026-88778
Автор: Grupo Oruss | Division81 Defensive Security Research
Инструмент на Python 3 для триажа подверженности Citrix NetScaler ADC / Gateway в рамках бюллетеня безопасности Citrix CTX697096, работающий в режиме только чтения и офлайн. Без сетевого трафика, эксплойт-пейлоадов, DoS-тестирования, аутентификации или сторонней телеметрии. Не является детектором эксплуатации уязвимостей или средством оценки компрометации.
Экспортируйте конфигурацию, которую вы уполномочены проверять (файл /nsconfig/ns.conf или вывод show ns runningConfig). Получите установленную сборку прошивки с устройства и при необходимости сохраните текстовый вывод команды show ns tcpparam. Не загружайте конфиденциальные производственные конфигурации на GitHub, в облачные сервисы или в системы отслеживания задач.
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 --tcp-params examples/tcpparam.txt --output report.json
Сторонних зависимостей нет. Совместимо с Windows, Linux и macOS.
potentially_exposed: поддерживаемая затронутая сборка и наличие задокументированного предварительного условия. Это не доказывает возможность эксплуатации.fixed_build: соответствует порогу исправленной сборки из рекомендаций, но не гарантирует отсутствия компрометации.precondition_not_observed: эвристика не выявила предварительное условие в предоставленном снимке; это не заявление о безопасности.configuration_unknown: отсутствуют критически важные дополнительные данные конфигурации.unknown_build: надёжная классификация редакции/сборки оказалась невозможной.JSON-отчёт намеренно содержит счётчики, а не конфиденциальные строки конфигурации. Проверяйте исходную конфигурацию локально.
| CVE | CVSS v4 | Условие офлайн-проверки |
|---|---|---|
| CVE-2026-88771 | 9.5 | Версия (все конфигурации по умолчанию затронуты на уязвимых сборках) |
| CVE-2026-88772 | 9.5 | DTLS, включая неявные значения по умолчанию для SSL VPN |
| CVE-2026-88773 | 9.3 | HTTP/SSL vServers |
| CVE-2026-88774 | 7.0 | Эвристика для выражений HTTP URL; проверьте привязки вручную |
| CVE-2026-88775 | 8.8 | VPN или AAA vServers |
| CVE-2026-88776 | 8.8 | ORACLE LB vServer |
| CVE-2026-88777 | 8.8 | Эвристики FTP/RTSP/DNS64/NAT64/LSN; проверьте привязки функций |
| CVE-2026-88778 | 8.8 | TCP vServer + Enhanced ISN Generation отключён согласно show ns tcpparam |
Исправленные сборки (согласно CTX697096): 14.1-73.37 / 13.1-64.23 для стандартной, 14.1-73.37 для FIPS, 13.1-37.279 для FIPS/NDcPP.
Ограничения: Этот парсер является эвристическим и может пропускать контекст, распределённый по нескольким строкам CLI, значения по умолчанию после развёртывания, косвенные выражения и привязки политик; для CVE-2026-88778 требуется show ns tcpparam. Отсутствующие записи в частично экспортированной конфигурации не позволяют исключить подверженность. Сборка 13.0 и другие неподдерживаемые/снятые с поддержки версии относятся к категории unknown, а не безопасных. Проверка не подтверждает вредоносную эксплуатацию. Для неисправленных устройств, доступных из интернета, срочно установите исправления и проведите независимую оценку инцидента/компрометации.
python -m unittest discover -s tests -v
Проверяйте только те конфигурации, которыми вы владеете или на оценку которых у вас есть разрешение. Никогда не коммитьте реальные экспорты или результаты, содержащие внутренние сведения. Лицензия: MIT. Это независимый проект By Grupo Oruss | Division81 Defensive Security Research, не связанный с Citrix/NetScaler и не одобренный ими.
Источники: Citrix CTX697096, уведомление CISA.
Создавайте оба формата локально с помощью одной и той же оценки в режиме только чтения:
python checker.py --config examples/sample.ns.conf --build 14.1-73.20 \
--tcp-params examples/tcpparam.txt --json report.json --html report.html
В Windows PowerShell выполните команду в одной строке или используйте обратную кавычку PowerShell для переноса.
Откройте report.html локально в браузере; это автономный файл со встроенным CSS, без внешних скриптов, ресурсов или телеметрии. --output остаётся обратно совместимым псевдонимом для --json. HTML-отчёт содержит сводку KPI, результаты по всем восьми CVE, рекомендуемые действия и оговорки по оценке. Он не включает необработанную конфигурацию и совпавшие строки; тем не менее проверяйте отчёты перед передачей.
Важно: Оценки на исправленных сборках не являются доказательством отсутствия исторической компрометации. Обратитесь к бюллетеню Citrix и рекомендациям CISA по установке исправлений, индикаторам компрометации и сохранению криминалистических данных.