Citrix NetScaler CVE-2026-88772 Exploit Details Show Pre-Auth Path to Shellcode Execution
The Hacker News · 30 sept, 07:30
Qué hacer: Aplica los parches de seguridad de Citrix para CVE-2026-88772 inmediatamente en todos los NetScaler ADC y Gateway.
Investigadores de ciberseguridad han divulgado detalles técnicos de CVE-2026-88772, una vulnerabilidad crítica (CVSS 9.5) en Citrix NetScaler ADC y Gateway que está siendo explotada activamente en la naturaleza. El fallo reside en el manejo del protocolo DTLS del motor de procesamiento de paquetes, donde una inconsistencia en el análisis de fragmentos permite a atacantes no autenticados provocar desbordamientos de búfer que resultan en ejecución remota de código con privilegios de root.
La vulnerabilidad explota una inconsistencia en cómo NetScaler procesa los fragmentos DTLS: el servidor confía implícitamente en el campo fragment_length de 1 byte del encabezado del handshake, mientras que el campo length afirma que el mensaje completo tiene 120 bytes. Un atacante puede enviar 120 registros de 1.459 bytes cada uno, cada uno declarado como 1 byte de fragmento, pero conteniendo la mayoría del registro en un búfer NSB de NetScaler. Tras 120 registros, aproximadamente 174 KB de datos se escriben en un búfer de rascado de solo 35.840 bytes, provocando un desbordamiento.
Los investigadores de watchTowr demostraron que este desbordamiento puede ser aprovechado para desviar el flujo de control hacia shellcode arbitrario con privilegios de root utilizando la llamada al sistema mprotect() para eludir protecciones NX. El acceso es preautenticado, lo que hace que cualquier atacante en red pueda ejecutar el exploit. El descubrimiento se produce un día después de que watchTowr divulgara un PoC para CVE-2026-88771, otra vulnerabilidad siendo abusada junto con CVE-2026-88772 en ataques reales.
Puntos clave
- Vulnerabilidad sin autenticación en DTLS que permite RCE como root
- CVSS 9.5, bajo explotación activa en la naturaleza
- Desbordamiento de búfer mediante fragmentos DTLS malformados
- Posible eludir protecciones NX mediante mprotect()
- Explotada en conjunto con CVE-2026-88771 en ataques reales