CVE-2026-88773 - NetScaler nsppe 32 位块大小累加器回绕

作者 Fyyre - https://github.com/Fyyre

针对 NetScaler nsppe HTTP/1.1 分块正文解析器中 HTTP 请求走私问题的概念验证。

一个九位数的块大小值（100000005）被累加进一个 32 位寄存器，且没有溢出检查，从而静默回绕为 5。 代理转发原始分帧，但使用回绕后的大小来决定请求在哪里结束。 一个正确计算完整 64 位长度的后端，与一个已经完成该请求的代理，现在对消息边界产生了分歧。

观察到的结果

• 流程 A（64 位后端）：连接卡死。后端等待约 4 GB 永远不会到达的正文。
• 流程 B（同样截断为 32 位的后端）：尾部字节被重新归类为第二个独立请求并被执行。

用法

python3 88773.py <host> [--port 443] [--sni poc] [--plain] [--flow {a,b,both}] [--timeout 5] [-v]

无需身份验证。唯一的前提是设备上的 HTTP 虚拟服务器可达。

对照检查

脚本首先发送一个分块 POST 和一对流水线 GET 请求。这些用于在尝试走私载荷之前，确认目标能够中继单请求和多请求流量。 以下人员完成了详细研究。强烈建议阅读 -> https://github.com/Scyrix-LLC/CVE-2026-88773

说明

• 载荷是单个 122 字节的 TCP 段（85 字节前缀 + 37 字节尾部）。
• 检测依赖于超时（流程 A）或走私路径在后续响应中出现（流程 B）。
• 已在实验室 VPX 上测试（NetScaler NS14.1: Build 12.30.nc, Date: Nov 22 2023, 10:31:37 - 结果取决于后端自身的块大小处理方式。

这是一个研究性概念验证。它不包含武器化内容（抱歉！）