登录
漏洞分析

🎯 CVE-2026-8452 深度技术分析：漏洞根因 · PoC/EXP · 检测指纹

AiRedTeam

• 阅读时间 8 分钟
分享
🎯 CVE 全聚合深度分析

CVE-2026-8452 深度技术分析

📊 聚合 3 来源🧪 含 PoC
NVD-LatestCISA-KEVPoC-in-GitHub

摘要：CVE-2026-8452 是 Citrix NetScaler ADC 与 NetScaler Gateway 中存在的一处严重内存越界写漏洞，CVSS 评分为 9.8。攻击者可在无需身份验证的前提下，通过构造恶意 SAML 消息触发堆缓冲区溢出，轻则导致设备拒绝服务，重则可实现远程代码执行。结合 CISA KEV 已收录该漏洞在野利用，以及 watchTowr 公开的 Pre-Auth RCE 验证代码，该漏洞实际威胁等级极高。

📌 漏洞概述

CVE-2026-8452 是 Citrix NetScaler ADC 与 NetScaler Gateway 中处理 SAML（Security Assertion Markup Language）消息时产生的内存越界写漏洞。当设备被配置为 Gateway（SSL VPN、ICA Proxy、CVPN、RDP Proxy）或 AAA virtual server 时，远程攻击者可向受影响组件发送特制请求，触发不可预测的行为，进而导致设备崩溃或完全被控制。

该漏洞的 CVSS v3.1 评分为 9.8 Critical，属于典型的“无需认证、无需交互、攻击复杂度低”的远程可利用漏洞。NVD 将其归类为“Improper Restriction of Operations within the Bounds of a Memory Buffer”，对应 CWE-119 内存缓冲区边界操作限制不当。

根据 Citrix 官方公告，受影响版本如下：

  • NetScaler ADC 与 NetScaler Gateway 14.1 版本，早于 14.1-72.61
  • NetScaler ADC 与 NetScaler Gateway 13.1 版本，早于 13.1-63

CISA KEV 已将 CVE-2026-8452 列入已知被利用漏洞目录，并要求联邦机构在指定时限内完成修补。

🔬 漏洞根因分析

该漏洞的根源在于 NetScaler 的 SAML 解析引擎对用户可控的数据长度缺乏充分校验。SAML 协议常用于企业单点登录（SSO）场景，NetScaler 作为 Gateway 或 AAA 虚拟服务器时，会接收来自浏览器的 SAMLRequest 或 RelyState 参数。这些参数由攻击者完全可控，且通常是经过 Base64 编码的 XML 数据。

从 watchTowr 公开的检测生成器所披露的技术细节来看，该漏洞是一个预认证堆溢出（Pre-Auth Heap Overflow），攻击者可以利用该漏洞将控制流劫持至攻击者布置的 shellcode。漏洞触发点位于 SAML 消息处理流程对 XML 节点属性或字符串长度计算处：当某个字符串长度被错误计算为负数或异常大的整数时，后续内存拷贝操作会越过目标堆缓冲区边界，破坏相邻的堆元数据或关键对象指针。

在 NetScaler 13.1-30.52 版本上，watchTowr 的研究人员通过硬编码偏移和地址，精确控制了堆布局，利用 jmp rax 这类导向指令跳转到堆中已布置的 shellcode。shellcode 经过精心构造，长度仅为 268 字节，即可在设备上以 nobody 用户权限执行系统命令，随后通过 setuid(0) 提升到 root，写入 WebShell 到 /vpn/theme/ 目录，实现完全远程控制。

值得注意的是，该漏洞的触发条件并不限于特定 SAML 模式。Citrix 公告指出，只要设备将 SAML 配置为服务提供商（SP）或身份提供商（IdP），该漏洞即可以被攻击者远程触及。这意味着不仅 VPN 网关，任何启用 SAML 集成功能的 ADC 设备都可能暴露在风险之下。

从二进制层面分析，此漏洞属于典型的“长度字段信任”缺陷：SAML XML 解析器在处理如 saml:Assertion、saml:Attribute 等元素时，会读取 XML 属性中声明的长度值，并据此分配堆内存。但由于缺失对长度值的上限检查，或对编码后字节数与原始字节数之间的换算错误，导致分配的实际缓冲区小于后续拷贝的数据量，最终发生堆越界写。

由于该漏洞可被预认证利用，且无需任何特殊权限，攻击者只需向目标端的 443/8443 等 HTTPS 端口发送特制的 HTTP 请求，即可触发整个攻击链。在 watchTowr 的演示中，只需一条 curl 命令即可完成探测到 getshell 的全部流程。

💥 影响与危害

该漏洞的核心影响是远程代码执行（RCE）和拒绝服务（DoS），具体危害如下：

  • 完全接管设备：攻击者可以获得 NetScaler 设备的 root shell，进而窃取 VPN 凭据、内网访问令牌、SSL 私钥等敏感数据。
  • 内网横向移动：NetScaler 通常部署在网络边界，被攻陷后可作为跳板进入内部网络，进一步扩散攻击。
  • 持久化后门：如 PoC 所示，攻击者可写入 WebShell 到 Web 目录，即使设备重启后仍可远程访问。
  • 服务不可用：即使未实现 RCE，利用内存溢出也可造成 NetScaler 进程崩溃或系统重启，导致 VPN 和网关服务中断，影响业务连续性。
  • 供应链风险：由于该漏洞在野利用已被 CISA 确认，攻击者可能已将其纳入自动化攻击工具包，批量扫描暴露在互联网上的 NetScaler 设备。

CVSS 9.8 的评分充分反映了该漏洞无需认证、远程可利用且影响机密性、完整性和可用性的特点。对于使用 Citrix 虚拟化解决方案的企业而言，这属于必须紧急修补的漏洞。

🛡️ 修复与缓解

Citrix 官方已发布修复版本，用户应尽快升级至以下安全版本：

  • NetScaler ADC 和 NetScaler Gateway 14.1：升级到 14.1-72.61 或更高版本
  • NetScaler ADC 和 NetScaler Gateway 13.1：升级到 13.1-63 或更高版本

在无法立即升级的情况下，建议采取以下临时缓解措施：

  • 限制管理接口暴露：确保 NetScaler 管理界面（如 SSH、Web 管理台）仅对受信任的内部网络或管理跳板机开放，避免直接暴露到互联网。
  • 禁用不必要的 SAML 功能：如果当前未使用 SAML SP/IdP 集成，建议暂时禁用相关配置，减少攻击面。
  • 启用 WAF 或 ACL 规则：在 NetScaler 前端部署 Web 应用防火墙，对包含可疑 Base64 编码 SAML 参数的请求进行拦截过滤。
  • 监控异常行为：重点关注目标设备上是否出现异常进程、WebShell 文件（如 /vpn/theme/*.php）、以及特权 shell 命令执行日志。
  • 遵循 CISA 指导：按 BOD 26-04 要求，在时限内完成补丁安装，同时依据“取证分流要求”对潜在受害系统进行检查。

鉴于该漏洞已出现公开 PoC 并在野外被利用，任何暴露于公网的 NetScaler 设备都应视为可能已被攻陷，建议升级后立即进行完整的安全审计，包括检查系统日志、文件完整性和是否存在未知用户账户。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言md来源watchtowrlabs/watchTowr-vs-Citrix-Netscaler-PreAuth-RCE-CVE-2026-8452针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# watchTowr-vs-Citrix-Netscaler-PreAuth-RCE

Detection Artifact Generator for Citrix NetScaler CVE-2026-8452

See our [blog post](https://labs.watchtowr.com/) for technical details.


# Detection in Action

```
python3 watchTowr-vs-Citrix-Netscaler-PreAuth-RCE.py --target https://172.16.5.12:9443/
                     __         ___  ___________
         __  _  ______ _/  |__ ____ |
|_\__    ____\____  _  ________
         \ \/ \/ \__  \    ___/ ___\||\||/  _ \ \/ \/ \_  __ \
          \     / / __ \||\  \___|Y  ||(  <_>\     / ||\/
           \/\_/ (____  |__|\___  |___|__|__  |\__  / \/\_/  |__|
\/          \/     \/

        watchTowr-vs-Citrix-Netscaler-PreAuth-RCE.py

        (*) Citrix NetScaler PreAuth Heap overflow to RCE Detection Artifact Generator

          - Sina Kheirkhah (@SinSinology) of watchTowr (@watchTowrcyber)

        CVEs: [CVE-2026-8452]

[*] Connecting to endpoint...
[*] target AAA service is responsive
[*] building shellcode
[+] shellcode size: 268 bytes
[*] triggering jmp rax to 0x112d30180
[*] sent..
[+] webshell will be at https://172.16.5.12:9443/vpn/theme/x.php?0=uname+-a;id
[+] web shell output:


FreeBSD something 11.4-NETSCALER-13.1 FreeBSD 11.4-NETSCALER-13.1 #0 ef731ca813f0(heads/artesa_30_52)-dirty: Wed Aug 24 08:24:55 PDT 2022     root@sjc-bld-bsd114-215:/usr/obj/usr/home/build/adc/usr.src/sys/NS64  amd64
uid=65534(nobody) gid=65534(nobody) euid=0(root) egid=0(wheel) groups=0(wheel)
uid=65534(nobody) gid=65534(nobody) euid=0(root) egid=0(wheel) groups=0(wheel)

```
>
all the offsets/addresses are hardcoded for version 13.1-30.52 of NetScaler


# Affected Versions

Tthe vulnerability is reachable when the Netscaler appliance is configured to use SAML as either a Service Provider (SP) or an Identity Provider (IdP).

Citrix lists the following versions as affected:

NetScaler ADC and NetScaler Gateway 14.1 BEFORE 14.1-72.61
NetScaler ADC and NetScaler Gateway 13.1 BEFORE 13.1-63.18

# Follow [watchTowr](https://watchtowr.com) Labs

For the latest security research follow the [watchTowr](https://watchtowr.com) Labs Team

- https://labs.watchtowr.com/
- https://x.com/watchtowrcyber

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

当前规则库未收录针对该 CVE 的专用检测规则。建议：

  • 根据漏洞根因编写 Nuclei 检测模板
  • 在 WAF/IDS 中配置针对漏洞特征的规则
  • 关注漏洞指纹库更新

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-27 02:07 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库

[!] CONTACT_CHANNELS

如需商务合作、技术咨询或漏洞反馈，请通过以下离岸节点联系作者。

> PING_AUTHOR (@A1RedTeam)