NetScaler Memory Overread Flaw Revives CitrixBleed Fears

Citrix has patched CVE-2026-8451, a memory overread vulnerability in NetScaler ADC and Gateway appliances acting as SAML identity providers. Discovered by watchTowr Labs, the flaw stems from a custom in-house XML parser that fails to properly bound-check unquoted attribute values in SAML AuthnRequests, allowing an unauthenticated attacker to leak raw process memory via the NSC_TASS response cookie. A secondary payload can crash the nsppe process entirely. The bug echoes the 2023 CitrixBleed (CVE-2023-4966) disaster, sharing the same root cause of fragile memory management in untrusted input parsing. Citrix was notified in March 2026 and shipped fixes on June 30 alongside five other CVEs. No active exploitation has been confirmed yet, but NetScaler's history of rapid weaponization makes urgent patching critical. Admins unable to patch immediately should disable SAML IdP functionality and restrict access to the /saml/login endpoint.

Nguồn: https://latesthackingnews.com/2026/07/02/netscaler-memory-overread-citrixbleed. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Adventures in Nodeland2 Hot15 phút1 giờ trướcAI

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng CVE-2026-48931 (vấn đề poisoning hàng đợi response HTTP/1.1 trong http.Agent) không đáng được xếp vào danh mục CVE vì đây là đặc tính vốn có của giao thức HTTP/1.1, không phải lỗi riêng của Node.js. Bản vá ban đầu gây lỗi giả (ERR_STREAM_PREMATURE_CLOSE) do listener 'data' công khai, ảnh hưởng tới nhiều dự án như Google API, Firebase CLI, Backstage. Sau đó, lỗi được khắc phục bằng cách thay thế bằng hook nội bộ onread. Ông cũng cảnh báo về tình trạng báo cáo bảo mật do AI tạo tràn lan, dẫn đến phân loại sai CVEs.

Bạn nên đọc bài này để hiểu cách phân biệt giữa các lỗ hổng thực sự là Node.js hay là cơ chế HTTP/1.1 chung, tránh rơi vào tình trạng đánh nhầm các cải thiện kỹ thuật thành khi chúng không ảnh hưởng riêng biệt đến dự án của mình.