NetScaler-Schwachstelle in SAML-Konfigurationen behoben

Die NetScaler-Schwachstelle CVE-2026-107406 wurde von Citrix behoben, nachdem das Unternehmen gewarnt hatte, dass betroffene NetScaler ADC- und NetScaler Gateway-Bereitstellungen in bestimmten SAML-Konfigurationen von Remote-Codeausführung oder Denial-of-Service betroffen sein könnten.

Citrix beschreibt CVE-2026-107406 als eine Speicherüberlauf-Schwachstelle. Einfach ausgedrückt entsteht ein Speicherüberlauf, wenn Software Daten so verarbeitet, dass sie über den dafür vorgesehenen Speicherbereich hinausgelangen können. Dadurch kann ein Angreifer unter Umständen den Dienst zum Absturz bringen oder Code ausführen. Die Schwachstelle hat einen CVSS-Wert von 9,5 von 10,0 und liegt damit im kritischen Bereich. Citrix gibt an, dass es keine Hinweise darauf gibt, dass dieses Problem in freier Wildbahn ausgenutzt wurde.

Das Risiko hängt mit SAML, oder Security Assertion Markup Language, zusammen, einer gängigen Single-Sign-On-Technologie, mit der sich Nutzer über ein Identitätssystem anmelden können, statt für jeden Dienst ein separates Passwort zu verwenden. Citrix zufolge hängt die Ausnutzung davon ab, ob NetScaler als SAML-Identitätsanbieter, auch IdP genannt, oder als SAML-Dienstanbieter, auch SP genannt, konfiguriert ist. Ein IdP ist das System, das bestätigt, wer ein Nutzer ist, während ein SP die Anwendung oder der Dienst ist, der sich auf diese Bestätigung verlässt.

Administratoren können prüfen, ob ihre NetScaler-Bereitstellung der betroffenen Konfiguration entspricht, indem sie nach SAML-bezogenen Konfigurationseinträgen suchen. Citrix nennt add authentication samlAction als Hinweis auf eine SAML-SP-Konfiguration und add authentication samlIdPProfile als Hinweis auf eine SAML-IdP-Konfiguration. Für Websitebetreiber und Unternehmen ist der praktische Punkt, dass es sich nicht um ein allgemeines Desktop-Problem handelt. Betroffen ist Infrastruktur, die zur Verwaltung von Zugriff, Anwendungsbereitstellung und Gateway-Funktionen verwendet wird und häufig vor Geschäftssystemen und Webdiensten sitzt.

Die betroffenen Versionsbereiche hängen davon ab, wie die NetScaler-Instanz konfiguriert ist. Bei Konfiguration als SAML-IdP umfassen die betroffenen Versionen NetScaler ADC und NetScaler Gateway von 14.1-73.37 bis einschließlich 14.1-73.41, NetScaler ADC 14.1-FIPS von 14.1-73.37 FIPS bis einschließlich 14.1-73.41 FIPS, NetScaler ADC und NetScaler Gateway von 13.1-64.23 bis einschließlich 13.1-64.28 sowie NetScaler ADC 13.1-FIPS von 13.1-NDcPP 13.1-37.279 bis einschließlich 13.1- 37.282.

Citrix listet außerdem breitere betroffene Bereiche auf, wenn NetScaler entweder als SAML-SP oder als SAML-IdP konfiguriert ist. Dazu gehören NetScaler ADC und NetScaler Gateway vor 14.1-73.37, NetScaler ADC 14.1-FIPS vor 14.1-73.37 FIPS, NetScaler ADC und NetScaler Gateway vor 13.1-64.23 sowie NetScaler ADC 13.1-FIPS vor 13.1-NDcPP 13.1-37.279. Citrix warnt außerdem, dass Secure Private Access Hybrid-Bereitstellungen, die NetScaler-Instanzen verwenden, betroffen sind und auf empfohlene NetScaler-Versionen aktualisiert werden sollten.

Die behobenen Versionen sind Citrix NetScaler ADC und Citrix NetScaler Gateway 14.1-73.46 und spätere Releases, Citrix NetScaler ADC und Citrix NetScaler Gateway 13.1-64.29 und spätere Releases von 13.1, Citrix NetScaler ADC 14.1-FIPS 14.1-73.46 FIPS und spätere Releases von 14.1-FIPS sowie Citrix NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1.37.283 und spätere Releases von 13.1-FIPS und 13.1-NDcPP.

Für IT-Teams besteht die unmittelbare Aufgabe darin, festzustellen, ob NetScaler vorhanden ist, ob SAML in einer der betroffenen Rollen aktiviert ist und ob die installierte Version in die verwundbaren Bereiche fällt. Da zu den möglichen Folgen Remote-Codeausführung gehört, also dass ein Angreifer Befehle auf einem verwundbaren System ausführen könnte, sowie Denial-of-Service, also dass der Dienst nicht verfügbar gemacht werden könnte, sollte dieses Update für jede Bereitstellung, die den Bedingungen von Citrix entspricht, als Priorität behandelt werden.

Citrix dankte dem JPMorgan Chase XOR Team und einem weiteren Melder für die Entdeckung und Meldung der Schwachstelle. Das Unternehmen weist außerdem darauf hin, dass drei weitere Schwachstellen in NetScaler ADC und NetScaler Gateway, CVE 2026-88771, CVE 2026-88772 und CVE 2026-88779, in freier Wildbahn aktiv ausgenutzt werden. Citrix erklärt nicht, dass CVE-2026-107406 ausgenutzt wird.

Für Organisationen, die exponierte Infrastruktur überprüfen, bietet AEU-I sicherheitsorientierte IT, Infrastruktur und Beratung, was für die Art von Appliance-Konfiguration und Upgrade-Planung relevant ist, die dieses Problem erfordert.

Websitebetreiber, die auf einen IT-Dienstleister oder Hosting-Partner angewiesen sind, sollten fragen, ob NetScaler ADC oder NetScaler Gateway irgendwo vor ihren Websites, Anmeldesystemen oder Geschäftsanwendungen eingesetzt wird. Falls ja, ist die wichtige Anschlussfrage nicht nur, ob ein Patch existiert, sondern ob die betroffene SAML-Konfiguration vorhanden ist und ob die Bereitstellung auf eines der behobenen Releases aktualisiert wurde.