Citrix NetScaler 사전 인증 명령어 삽입 CVE-2026-88771

요약

치명적인 사전 인증 명령어 주입 취약점이 Citrix NetScaler ADC 및 Gateway 장비에 영향을 미칩니다. 이 취약점은 Perl 스크립트에서 입력 검증이 제대로 이루어지지 않아 공격자가 루트 권한으로 임의 시스템 명령어를 실행할 수 있게 합니다. CVE-2026-88771은 제로 데이 취약점으로서 실제 환경에서 적극적으로 악용되고 있습니다.

조사

연구자들은 14.1-73.30 및 14.1-73.37 NetScaler 빌드의 차이 분석을 수행하여 근본적인 결함을 발견했습니다. 그들은 다음과 같은 셸 인터폴레이션을 통해 ns_monuploadd_err.pl 스크립트에서 발견하였으며, 이 스크립트는 정제되지 않은 로그 데이터를 처리합니다. 공격자는 특별히 조작된 HTTP 요청을 로그 파일에 주입하여 취약한 스크립트가 실행될 때 임의 명령어 실행을 촉발하는 셸 메타문자를 도입할 수 있습니다.

완화 방안

Citrix는 CVE-2026-88771을 해결하는 보안 업데이트를 발표했습니다. 조직은 즉시 NetScaler ADC 및 Gateway 장비를 버전 14.1-73.37 이상 또는 13.1-64.23 이상으로 업그레이드해야 합니다. 이 패치는 안전하지 않은 셸 인터폴레이션을 Perl의 리스트 형식 명령어 실행으로 대체하며, 캡처된 입력 문자열에 대한 엄격한 정규 표현식 검증을 도입합니다.

대응

의심스러운 로그 항목이나 승인되지 않은 명령어 실행이 감지되면, 영향을 받은 장비를 즉시 격리해야 합니다. 이에 대한 포렌식 조사를 철저히 수행해야 합니다. /var/tmp and /var/core 디렉토리를 조사하여 잠재적인 페이로드 아티팩트 및 코어 덤프를 식별하십시오. 셸 메타문자나 다른 명령어 주입 지표가 포함된 의심스러운 HTTP 요청을 감지하기 위해 최신 접근 로그를 검토하십시오.

시뮬레이션 실행

• 공격 내러티브 및 명령어: 공격자는 Citrix NetScaler 장비에서 CVE-2026-88771을 성공적으로 악용했습니다. 자동화된 악용 스크립트가 임시 디렉토리에 파일을 성공적으로 배치했는지 확인하기 위해, 정보 수집 명령어를 실행합니다. 공격자는 ls -la /var/tmp/watchTowr 를 실행하여 디렉토리의 내용을 나열하고, 이어서 cat /var/tmp/watchTowr/payload.sh 를 사용하여 떨어진 스크립트의 내용을 읽습니다. 이러한 행동은 탐지 규칙에 정의된 특정 문자열을 트리거하기 위해 의도된 것입니다.

• 회귀 테스트 스크립트:

  #!/bin/bash
  # 특정 명령어 문자열을 통해 탐지 규칙을 트리거하는 시뮬레이션 스크립트
  
  # 1. 타겟 디렉토리 및 더미 파일 생성하여 악용 환경 모사
  mkdir -p /var/tmp/watchTowr
  echo "#!/bin/bash" > /var/tmp/watchTowr/payload.sh
  echo "echo 'malicious payload'" >> /var/tmp/watchTowr/payload.sh
  
  # 2. Sigma 규칙 탐지 로직에 맞춰 명령어 실행
  echo "[+] 탐지 트리거를 위한 정보 수집 명령어 실행 중..."
  ls -la /var/tmp/watchTowr
  cat /var/tmp/watchTowr/payload.sh
  
  echo "[+] 시뮬레이션 명령어 실행 완료."

• 정리 명령어:

  # 정리: 시뮬레이션된 파일 및 디렉토리 제거
  rm -rf /var/tmp/watchTowr