Sicherheitsforscher meldeten am Freitag, dem 14. August, dass sie eine Speicherbeschädigung ohne Anmeldung in kundenseitig verwalteten NetScaler-ADC- und NetScaler-Gateway-Systemen bis zur entfernten Codeausführung mit Root-Rechten weiterentwickelt haben. Das Team von watchTowr Labs hält CVE-2026-8452 für die wahrscheinliche Kennung, betont jedoch die vorläufige Zuordnung: Der Anbieter bündelte mehrere Korrekturen in einem Bulletin und verknüpfte die genannten Forscher nicht mit einzelnen Schwachstellen. Der Labornachweis hebt die mögliche Wirkung deutlich über die ursprünglich beschriebene Dienstverweigerung hinaus.
Cloud Software Group stuft CVE-2026-8452 im Bulletin vom 30. Juni mit einem CVSS-4.0-Wert von 8,8 als hoch ein. Der Anbieter beschreibt einen Speicherüberlauf, der fehlerhaftes Verhalten oder einen Dienstausfall auslösen kann, wenn das Gerät als Gateway für SSL VPN, ICA Proxy, CVPN oder RDP Proxy beziehungsweise als virtueller AAA-Server arbeitet. Betroffen sind NetScaler ADC und Gateway 14.1 vor 14.1-72.61 sowie 13.1 vor 13.1-63.18; das Bulletin nennt außerdem bestimmte FIPS- und NDcPP-Versionen.
WatchTowr prüfte ein anfälliges NetScaler-13.1-System mit SAML und erreichte die vermutete Lücke vor der Anmeldung, wenn SAML als Dienst- oder Identitätsanbieter eingerichtet war. Bei der Verarbeitung einer signierten SAML-Nachricht überschritt angreifergesteuerter Inhalt im Abschnitt SignedInfo einen Puffer fester Größe. Der Überlauf beschädigte benachbarte Speicherbereiche der Paket-Engine. Die Forscher formten diese Beschädigung anschließend in eine Fähigkeit um, ausgewählte Daten an eine ausgewählte Speicheradresse zu schreiben.
Danach lenkte das Team einen Funktionszeiger auf Code in ausführbarem Speicher. Es überwand zudem den automatischen Neustart des Geräts, sodass eine eingeschleuste Webschnittstelle nach dem Neustart der Paket-Engine erreichbar blieb, und demonstrierte schließlich Befehle mit Root-Rechten. WatchTowr nannte den exakten Build für die Entwicklung nicht. Der Bericht liefert auch keinen Beleg für aktuelle Angriffe über diesen Weg. Das Ergebnis belegt daher die mögliche Wirkung, bestätigt aber keine laufende Angriffskampagne.
Die Erkenntnis ist bedeutsam, weil NetScaler-Gateways häufig am Rand von Unternehmensnetzen stehen und Anmeldung, Fernzugriff, Lastverteilung sowie verschlüsselten Datenverkehr abwickeln. Ein Weg zur Root-Kontrolle vor jeder Anmeldung könnte Angreifern einen mächtigen Einstieg ermöglichen, ohne zuvor ein Passwort zu stehlen. Zugleich unterscheiden sich die vorläufige CVE-Zuordnung und die SAML-Testbedingungen von Teilen der veröffentlichten Voraussetzungen des Anbieters. Der Nachweis ist deshalb noch keine formelle Neubewertung von CVE-2026-8452.
Cloud Software Group empfiehlt dringend NetScaler ADC und Gateway 14.1-72.61 oder neuer beziehungsweise 13.1-63.18 oder neuer sowie die passenden korrigierten FIPS- und NDcPP-Builds. Der Hinweis betrifft kundenseitig verwaltete Systeme; Citrix-verwaltete Cloud-Dienste sind laut Unternehmen bereits aktualisiert, während Secure-Private-Access-Hybrid-Installationen mit NetScaler-Instanzen ein Kundenupdate benötigen. Administratoren sollten öffentlich erreichbare Gateway- und virtuelle Authentifizierungsserver prüfen, zügig aktualisieren und das Bulletin auf Änderungen bei Zuordnung oder Schweregrad beobachten.
Kommentare