Iniezione di Comandi PreAuth su Citrix NetScaler CVE-2026-88771

Sommario

Una vulnerabilità critica di iniezione di comandi pre-autenticazione colpisce i dispositivi Citrix NetScaler ADC e Gateway. La vulnerabilità deriva da una convalida impropria degli input in uno script Perl, permettendo agli attaccanti di eseguire comandi di sistema arbitrari con privilegi di root. CVE-2026-88771 è stata sfruttata attivamente in ambienti reali come una vulnerabilità zero-day.

Indagine

I ricercatori hanno effettuato un’analisi differenziale delle versioni NetScaler 14.1-73.30 e 14.1-73.37 per scoprire la falla sottostante. Hanno identificato un’interpolazione insicura della shell tramite backticks nel ns_monuploadd_err.pl script, che elabora dati di log non sanificati. Iniettando richieste HTTP appositamente create nei file di log, gli attaccanti possono introdurre metacaratteri della shell che attivano l’esecuzione di comandi arbitrari quando il script vulnerabile viene eseguito.

Mitigazione

Citrix ha emesso aggiornamenti di sicurezza per affrontare CVE-2026-88771. Le organizzazioni dovrebbero aggiornare immediatamente i dispositivi NetScaler ADC e Gateway alla versione 14.1-73.37 o successiva, oppure 13.1-64.23 o successiva. La patch sostituisce l’interpolazione insicura della shell con l’esecuzione di comandi in formato lista di Perl e introduce una rigorosa convalida regex per le stringhe di input catturate.

Risposta

Se vengono rilevate voci di log sospette o esecuzioni di comandi non autorizzati, i dispositivi interessati dovrebbero essere immediatamente isolati. Condurre un esame forense completo delle /var/tmp and /var/core directory per identificare potenziali artefatti di payload e dump di core. Rivedere i log di accesso recenti per richieste HTTP anomale contenenti metacaratteri della shell o altri indicatori di iniezione di comandi.

Esecuzione di Simulazione

• Narrazione & Comandi dell’Attacco: Un avversario ha sfruttato con successo CVE-2026-88771 su un dispositivo Citrix NetScaler. Per verificare se il loro script di exploit automatico ha piazzato correttamente file nella directory temporanea, eseguono comandi di ricognizione. L’attaccante esegue ls -la /var/tmp/watchTowr per elencare il contenuto della directory e successivamente usa cat /var/tmp/watchTowr/payload.sh per leggere il contenuto di uno script depositato. Queste azioni intendono attivare le stringhe specifiche definite nella regola di rilevamento.

• Script di Test di Regressione:

  #!/bin/bash
  # Script di simulazione per attivare la regola di rilevamento tramite stringhe di comando specifiche
  
  # 1. Crea la directory di destinazione e il file fittizio per imitare l'ambiente di exploit
  mkdir -p /var/tmp/watchTowr
  echo "#!/bin/bash" > /var/tmp/watchTowr/payload.sh
  echo "echo 'carico malevolo'" >> /var/tmp/watchTowr/payload.sh
  
  # 2. Esegui i comandi che corrispondono alla logica di rilevamento della regola Sigma
  echo "[+] Esecuzione di comandi di ricognizione per attivare il rilevamento..."
  ls -la /var/tmp/watchTowr
  cat /var/tmp/watchTowr/payload.sh
  
  echo "[+] Comandi di simulazione eseguiti."

• Comandi di Pulizia:

  # Pulizia: Rimuovere i file simulati e la directory
  rm -rf /var/tmp/watchTowr