Citrix NetScaler PreAuth Befehlsinjektion CVE-2026-88771

Zusammenfassung

Eine kritische Sicherheitslücke vor der Authentifizierung bei der Befehlsausführung betrifft Citrix NetScaler ADC und Gateway-Geräte. Die Schwachstelle resultiert aus unsachgemäßer Eingabevalidierung in einem Perl-Skript, wodurch Angreifer beliebige Systembefehle mit Root-Rechten ausführen können. CVE-2026-88771 wurde als Zero-Day-Schwachstelle bereits aktiv ausgenutzt.

Untersuchung

Forscher führten eine Differenzanalyse der NetScaler-Builds 14.1-73.30 und 14.1-73.37 durch, um die zugrundeliegende Schwachstelle aufzudecken. Sie identifizierten eine unsichere Shell-Interpolation durch Backticks in dem ns_monuploadd_err.pl Skript, das unsichere Protokolldaten verarbeitet. Durch das Einspeisen speziell gestalteter HTTP-Anfragen in Protokolldateien können Angreifer Shell-Metazeichen einführen, die eine willkürliche Befehlsausführung auslösen, wenn das anfällige Skript ausgeführt wird.

Abhilfe

Citrix hat Sicherheitsupdates für CVE-2026-88771 veröffentlicht. Organisationen sollten NetScaler ADC und Gateway-Geräte sofort auf Version 14.1-73.37 oder neuer bzw. 13.1-64.23 oder neuer aktualisieren. Der Patch ersetzt die unsichere Shell-Interpolation durch die Listenform-Befehlsausführung von Perl und führt eine strenge Regex-Validierung für erfasste Eingabestrings ein.

Reaktion

Wenn verdächtige Protokolleinträge oder unautorisierte Befehlsausführungen erkannt werden, sollten betroffene Geräte sofort isoliert werden. Führen Sie eine umfassende forensische Untersuchung der /var/tmp and /var/core -Verzeichnisse durch, um potenzielle Payload-Artefakte und Kernabbilder zu identifizieren. Überprüfen Sie aktuelle Zugriffsprotokolle auf anomale HTTP-Anfragen, die Shell-Metazeichen oder andere Indikatoren für Befehlsinjektionen enthalten.

Simulationsausführung

• Angriffserzählung & Befehle: Ein Angreifer hat CVE-2026-88771 auf einem Citrix NetScaler-Gerät erfolgreich ausgenutzt. Um zu überprüfen, ob sein automatisiertes Exploit-Skript erfolgreich Dateien im temporären Verzeichnis platziert hat, führt er Aufklärungskommandos aus. Der Angreifer führt ls -la /var/tmp/watchTowr aus, um den Inhalt des Verzeichnisses aufzulisten, und verwendet anschließend cat /var/tmp/watchTowr/payload.sh um den Inhalt eines abgelegten Skripts zu lesen. Diese Aktionen sollen die spezifischen Strings auslösen, die in der Erkennungsregel definiert sind.

• Regressionstest-Skript:

  #!/bin/bash
  # Simulationsskript zur Auslösung der Erkennungsregel durch spezifische Befehlsstrings
  
  # 1. Erstellen des Zielverzeichnisses und der Dummy-Datei zur Nachahmung der Exploit-Umgebung
  mkdir -p /var/tmp/watchTowr
  echo "#!/bin/bash" > /var/tmp/watchTowr/payload.sh
  echo "echo 'malicious payload'" >> /var/tmp/watchTowr/payload.sh
  
  # 2. Ausführen der Befehle, die der Sigma-Regel-Erkennung entsprechen
  echo "[+] Ausführen von Aufklärungskommandos zur Detektion..."
  ls -la /var/tmp/watchTowr
  cat /var/tmp/watchTowr/payload.sh
  
  echo "[+] Simulationsbefehle ausgeführt."

• Aufräumbefehle:

  # Bereinigung: Entfernen der simulierten Dateien und Verzeichnisse
  rm -rf /var/tmp/watchTowr