Des chercheurs en sécurité ont annoncé vendredi 14 août avoir transformé une corruption de mémoire sans authentification dans les appliances NetScaler ADC et NetScaler Gateway gérées par les clients en exécution de code à distance avec les privilèges root. L'équipe de watchTowr Labs estime qu'il s'agit de CVE-2026-8452, mais précise que cette attribution reste provisoire, car le fournisseur a regroupé plusieurs correctifs dans un même bulletin sans relier chaque chercheur crédité à une faille précise. Cette démonstration en laboratoire élève sensiblement l'impact potentiel au-delà du déni de service décrit initialement.
Le bulletin publié le 30 juin par Cloud Software Group classe CVE-2026-8452 comme une faille de sévérité élevée, avec un score CVSS 4.0 de 8,8. Il décrit un débordement de mémoire susceptible d'entraîner un fonctionnement erroné ou un déni de service lorsque l'appliance sert de passerelle, notamment pour SSL VPN, ICA Proxy, CVPN ou RDP Proxy, ou de serveur virtuel AAA. Sont concernés NetScaler ADC et Gateway 14.1 avant 14.1-72.61 et 13.1 avant 13.1-63.18, ainsi que certaines versions FIPS et NDcPP.
WatchTowr a testé une appliance NetScaler 13.1 vulnérable utilisant SAML et a constaté que la faille présumée était accessible avant toute authentification lorsque SAML fonctionnait comme fournisseur de services ou fournisseur d'identité. Pendant le traitement d'un message SAML signé, un contenu contrôlé par l'attaquant dans la section SignedInfo pouvait dépasser un tampon de taille fixe. Le débordement corrompait la mémoire voisine du moteur de paquets, puis les chercheurs ont converti cette corruption en capacité d'écrire des données choisies à l'emplacement mémoire voulu.
L'équipe a ensuite redirigé un pointeur de fonction vers du code placé dans une zone de mémoire exécutable. Elle a également contourné le redémarrage automatique de l'appliance, permettant à une interface malveillante de rester disponible après la relance du moteur de paquets, puis a démontré l'exécution de commandes avec les droits root. WatchTowr n'a pas indiqué la version exacte employée pour développer l'exploitation. Le rapport ne fournit pas non plus de preuve d'une exploitation réelle par des attaquants; il démontre donc un impact possible, sans confirmer une campagne active.
Le résultat est important, car les passerelles NetScaler se trouvent souvent à la périphérie des réseaux d'entreprise et gèrent l'authentification, l'accès distant, l'équilibrage de charge et le trafic chiffré. Un chemin vers le contrôle root avant authentification pourrait offrir une porte d'entrée puissante sans vol préalable de mot de passe. Toutefois, l'attribution provisoire du CVE et les conditions de test SAML diffèrent de certains prérequis publiés par le fournisseur; il faut donc distinguer la faille démontrée d'une réévaluation officielle de CVE-2026-8452.
Cloud Software Group demande aux clients d'installer NetScaler ADC et Gateway 14.1-72.61 ou une version ultérieure, ou 13.1-63.18 ou ultérieure, avec les versions FIPS et NDcPP corrigées correspondantes si nécessaire. L'avis concerne les systèmes gérés par les clients; l'entreprise affirme avoir déjà actualisé ses services cloud administrés, tandis que les déploiements Secure Private Access Hybrid utilisant NetScaler exigent encore une mise à niveau du client. Les administrateurs doivent vérifier les configurations exposées de passerelle et de serveur virtuel d'authentification, corriger rapidement et surveiller toute modification du bulletin concernant l'attribution ou la sévérité.
Commentaires