Injection de Commandes PreAuth Citrix NetScaler CVE-2026-88771

Résumé

Une faille critique d’injection de commande avant authentification affecte les appareils Citrix NetScaler ADC et Gateway. La vulnérabilité provient d’une validation incorrecte des entrées dans un script Perl, permettant aux attaquants d’exécuter des commandes système arbitraires avec des privilèges root. Le CVE-2026-88771 a été activement exploité dans la nature en tant que vulnérabilité zero-day.

Enquête

Les chercheurs ont effectué une analyse différentielle des versions 14.1-73.30 et 14.1-73.37 de NetScaler pour découvrir la faille sous-jacente. Ils ont identifié une interpolation de shell non sécurisée via des backticks dans le ns_monuploadd_err.pl script, qui traite des données de journal non filtrées. En injectant des requêtes HTTP spécialement conçues dans les fichiers journaux, les attaquants peuvent introduire des métacaractères de shell qui déclenchent l’exécution de commandes arbitraires lorsque le script vulnérable s’exécute.

Atténuation

Citrix a émis des mises à jour de sécurité pour corriger le CVE-2026-88771. Les organisations doivent immédiatement mettre à niveau les appareils NetScaler ADC et Gateway vers la version 14.1-73.37 ou ultérieure, ou 13.1-64.23 ou ultérieure. Le correctif remplace l’interpolation de shell non sécurisée par l’exécution de commande en liste de Perl et introduit une validation stricte des regex pour les chaînes d’entrée capturées.

Réponse

Si des entrées de journal suspectes ou une exécution non autorisée de commande sont détectées, les appareils concernés doivent être isolés immédiatement. Effectuer un examen judiciaire complet des répertoires /var/tmp and /var/core pour identifier les artefacts de charge utile potentiels et les vidages de noyau. Examiner les journaux d’accès récents pour détecter des requêtes HTTP anormales contenant des métacaractères de shell ou d’autres indicateurs d’injection de commande.

Exécution de simulation

• Narrative de l’attaque & Commandes : Un adversaire a réussi à exploiter le CVE-2026-88771 sur un appareil Citrix NetScaler. Pour vérifier si leur script d’exploitation automatisé a réussi à placer des fichiers dans le répertoire temporaire, ils exécutent des commandes de reconnaissance. L’attaquant exécute ls -la /var/tmp/watchTowr pour lister le contenu du répertoire et utilise ensuite cat /var/tmp/watchTowr/payload.sh pour lire le contenu d’un script déposé. Ces actions visent à déclencher les chaînes spécifiques définies dans la règle de détection.

• Script de test de régression :

  #!/bin/bash
  # Script de simulation pour déclencher la règle de détection via des chaînes de commande spécifiques
  
  # 1. Créer le répertoire cible et le fichier factice pour imiter l'environnement d'exploitation
  mkdir -p /var/tmp/watchTowr
  echo "#!/bin/bash" > /var/tmp/watchTowr/payload.sh
  echo "echo 'payload malveillant'" >> /var/tmp/watchTowr/payload.sh
  
  # 2. Exécuter les commandes qui correspondent à la logique de détection de la règle Sigma
  echo "[+] Exécution des commandes de reconnaissance pour déclencher la détection..."
  ls -la /var/tmp/watchTowr
  cat /var/tmp/watchTowr/payload.sh
  
  echo "[+] Commandes de simulation exécutées."

• Commandes de nettoyage :

  # Nettoyage : Supprimer les fichiers et répertoires simulés
  rm -rf /var/tmp/watchTowr