这就是 CWE-288 意义上的替代路径。相同的请求面，更弱的解析器调用方式，任何能够发送带有 SAMLResponse 查询参数的 GET 请求的人都可以触达。

2. 未签名断言门控将默认配置视为 ALLOW。

在 redirect 处理器内部，当请求不携带 SigAlg/Signature 时，rejectUnsignedAssertion 的配置字会被比较并分支跳转，如下所示：

配置字的值：2 = rejectUnsignedAssertion ON（默认值），3 = STRICT。je 将 2 发送到接受路径。只有 STRICT 才会到达拒绝日志行：

因此，在默认配置的机器上，交给 redirect 绑定的未签名断言会被解析（strict 关闭），通过未签名门控（ON 被误读为允许），然后执行常规的解析后步骤：针对 SAML action 配置进行 issuer/audience/subject 检查，然后根据攻击者提供的字段构建会话。整条路径上没有任何摘要验证或 RSA 验证。POST 绑定不受同样方式的影响——它会将 strict 传递给解析器并正确拒绝未签名输入。

根据公告的前置条件，并已对照二进制文件确认：从 14.1-43.56 / 13.1-61.28 起的构建版本需要将 SAML action 绑定到 Gateway 或 AAA vserver（标准的 SAML SSO 配置，因此大多数 SAML 部署都符合条件）。更早的构建版本仅凭 vserver 即可注册该路由。

漏洞利用形态

一次 GET 请求。构建一个在任何位置都不含 <ds:Signature> 的 SAML Response，进行 DEFLATE + base64 编码，然后发送：

必须与目标 SAML action 配置匹配的值：断言 Issuer = IdP 实体 ID，Audience = SP 实体 ID，Recipient/Destination = ACS URL，在事务性配置中还需要来自实时 AuthnRequest 的 InResponseTo。--mint 会遍历网关自身的预认证登录重定向以捕获这些值（Location 头中的 SAMLRequest 携带了所有这些值）。返回 302 到 /vpn/ 并附带真实的 NSC_AAAC / NSC_TASS cookie（而非 xyz 删除标记），即为以您放入的任何 NameID 身份伪造的会话。

使用方法

--safe-oracle 的存在是因为两种配置在发生任何会话形态的操作之前会返回不同的错误页面，这也是防御者无需接触真实 IdP 即可进行自检的方式。请针对您自己的设备运行。

演示

demo/demo.gif（另有 demo.mp4，以及如果您想用 asciinema play 播放的 demo/demo.cast）：来自 docker 镜像的受影响构建版本、word-2 默认配置、从随附的 nsppe 反汇编出的两个二进制分支，以及 PoC 端点检查。最后一步——会话签发——需要获得许可的 VPX——CPX Express 在许可证层面拒绝 AAA 会话——这正是 lab/record-demo.sh 在您拥有 VPX 时所捕获的内容。

实验环境

lab/setup-cpx.sh 在 docker 中启动精确的受影响构建版本：

并配置一个带有 rejectUnsignedAssertion ON 的 SAML action、一个策略和一个 Gateway vserver。两个通过艰难方式学到的注意事项：

• CPX Express 不携带 SSLVPN/AAA 用户许可证。vserver 会提供 /cgi/samlauth 服务，但每个请求都会落在 480 Login exceeds maximum allowed users 上。足以复现配置 + 端点 + 二进制状态，但无法获得最终的会话 cookie。
• 要进行完整的会话签发运行，您需要一个带有免费 Developer Edition 许可证的 VPX（My Citrix → downloads → NetScaler VPX，然后按照 CTX587663 获取许可证流程）。CLI 与设置脚本中的相同，然后 lab/record-demo.sh 会录制完整的 asciinema 序列：版本、配置、safe-oracle、伪造会话、STRICT 阴性对照。

上述随附二进制的偏移量直接来自该镜像：

检测 / 缓解措施

• 升级到 14.1-73.32+ / 13.1-63.21+。没有受支持的缓解措施。
• set samlAction <name> -samlRejectUnsignedAssertion STRICT 可在易受攻击的路径上阻止 redirect 向量（它会使配置字变为 3）。请注意，STRICT 还会改变设备对您的 IdP 的期望（Response + Assertion 签名要求），这大概就是 Citrix 将 ON 作为默认值以及“只需设置 STRICT”并非对所有人都能作为干净缓解措施的原因。
• 检测：对 /cgi/samlauth 的 GET 请求携带 SAMLResponse（redirect 绑定响应在现实中很少见——浏览器使用 POST）、未签名载荷，以及上述错误页面差异。

法律声明

仅限授权的安全测试：您自己的实验环境，或您已获授权项目的明确范围内目标。作者与 Citrix 或原始报告团队无关联。

时间线

• 2026-08-19 — Citrix 公告 CTX696939，修复已发布
• 2026-09 — 本根因分析文章和 PoC

MIT 许可证，详见 LICENSE。