✨ 概述

CVE-2026-8451 是一个高危内存泄露漏洞，由 SAML 身份提供商请求处理过程中的越界读取（CWE-125） 导致。

未经身份验证的攻击者可发送特制的 SAML 请求触发内存溢出读取，可能泄露敏感进程内存。

---

📊 漏洞快照

属性	值
CVE	CVE-2026-8451
严重等级	🔴 高危
CVSS	8.8
CWE	CWE-125
攻击向量	网络
身份验证	❌ 无需
用户交互	❌ 无需
受影响服务	/saml/login
影响	内存泄露
补丁可用	✅ 是

---

🎯 潜在影响

成功利用可能泄露：

• 认证凭证
• 运行时机密
• 敏感进程内存
• 会话相关信息
• 内部内存结构

---

🧩 根本原因

传入的 SAML 请求
          │
          ▼
 XML 验证不当
          │
          ▼
 越界读取
          │
          ▼
 内存泄露

---

📦 受影响产品

产品	状态
NetScaler ADC	✅ 受影响
NetScaler Gateway	✅ 受影响

只有配置为 SAML 身份提供商 (IdP) 的系统存在漏洞。

---

✅ 已修复版本

发布分支	修复版本
14.1	14.1-72.61
13.1	13.1-63.18
FIPS	最新版本
NDcPP	最新版本

---

🛡️ 缓解措施

✔ 立即升级
✔ 如不使用则禁用 SAML IdP
✔ 限制互联网暴露
✔ 监控 /saml/login
✔ 审查认证日志
✔ 部署 IDS/IPS 签名
✔ 检测内存泄露尝试

---

🔍 检测

监控以下异常：

• 对 /saml/login 的异常大量请求
• 格式错误的 XML 载荷
• NetScaler 意外崩溃
• 认证行为异常
• 可疑的 SAML 断言

---

📈 利用状态

公开研究	概念验证	野外利用
✅ 可用	🟡 部分	❌ 无确认报告

[+] CVE-2026-8451 PoC - Ashraf Zaryouh (0xBlackash)
[+] 目标: https://target.example.com
[+] 开始尝试内存溢出读取...

[-] 尝试 1/12 (填充 476) - 未泄露
[-] 尝试 2/12 (填充 508) - 未泄露
[+] 成功！检测到内存泄露 (填充: 540)

    泄露字节数: 312

Hexdump:
  66 6f 6f 62 61 72 00 00  de de de de de de de de   |foobar..........|
  0d 0a 41 75 74 68 65 6e  74 69 63 61 74 69 6f 6e   |..Authentication|
  3a 20 53 65 73 73 69 6f  6e 49 44 3d 78 78 78 78   |: SessionID=xxxx|
  de de de de de de de de  0a 0d 55 73 65 72 2d 41   |..........User-A|
  67 65 6e 74 3a 20 4d 6f  7a 69 6c 6c 61 2f 35 2e   |gent: Mozilla/5.|
  ... (更多二进制数据)

ASCII 预览:
foobar......Authentication: SessionID=xxxx......User-Agent: Mozilla/5.

---

📚 参考资料

• NIST 国家漏洞数据库
• Citrix 安全公告
• watchTowr Labs 研究
• CISA（如添加）

---

⚖️ 免责声明

本仓库仅供教育、防御和网络安全研究目的。它并不包含用于未授权访问的利用代码或说明。请始终在获得适当授权的情况下进行安全测试。

---