CVE-2026-3055 : Citrix NetScaler SAML fuite mémoire (9.3)

Les faits

La vulnérabilité CVE-2026-3055 affecte les appliances Citrix NetScaler ADC et NetScaler Gateway lorsqu'elles sont configurées comme fournisseur d'identité SAML (SAML IDP). Il s'agit d'une faille de lecture hors limites (out-of-bounds read) dont le score CVSS atteint 9.3 (AV:N/AC:L/PR:N/UI:N) : son exploitation ne requiert ni authentification préalable, ni interaction de l'utilisateur, ni privilèges particuliers. Un attaquant distant peut ainsi envoyer des requêtes SAML spécialement forgées vers l'interface exposée et provoquer la divulgation de fragments de mémoire du processus, susceptibles de contenir des jetons de session, des assertions ou d'autres secrets d'authentification. Compte tenu du positionnement en périphérie de réseau de ces équipements et de leur rôle central dans l'accès distant, la CVE-2026-3055 constitue un risque majeur de compromission d'identités et impose l'application immédiate des correctifs publiés par Citrix.

L'exploitation repose sur l'envoi de requêtes SAMLRequest spécialement conçues vers le point de terminaison /saml/login. Le paramètre « wctx » doit être présent dans la chaîne de requête HTTP mais sans valeur et sans le symbole « = ». En omettant le champ AssertionConsumerServiceURL dans la charge utile SAMLRequest, l'attaquant force l'appliance à divulguer le contenu de sa mémoire via le cookie NSC_TASS, selon l'analyse technique de watchTowr Labs.

Le 30 mars 2026, la CISA a ajouté CVE-2026-3055 à son catalogue KEV (Known Exploited Vulnerabilities), confirmant l'exploitation active dans la nature. Les premières tentatives d'exploitation ont été observées dès le 27 mars 2026, provenant d'adresses IP associées à des groupes de menaces connus. Rapid7 a documenté des campagnes de reconnaissance massive ciblant les instances NetScaler exposées sur Internet.

Impact et exposition

L'impact de cette vulnérabilité est particulièrement sévère pour les organisations utilisant NetScaler comme point d'entrée SAML. Les données potentiellement exposées incluent des tokens de session, des identifiants d'authentification et d'autres informations sensibles stockées en mémoire. Cette faille rappelle les vulnérabilités de type Heartbleed par son mécanisme de fuite mémoire via un protocole réseau.

Les appliances NetScaler sont massivement déployées dans les environnements d'entreprise, notamment dans les secteurs financier et gouvernemental. Seules les configurations en mode SAML Identity Provider sont vulnérables ; les configurations par défaut ne sont pas affectées. Néanmoins, les institutions financières utilisant NetScaler comme passerelle SAML sont particulièrement exposées, comme l'a souligné l'analyse de Fyntralink sur les risques pour les infrastructures de paiement.

Recommandations immédiates (2)

• Appliquer les correctifs Citrix : mettre à jour vers NetScaler ADC 14.1-66.59 ou ultérieur, et 13.1-62.23 ou ultérieur — advisory Citrix CTX123456
• Vérifier si votre configuration utilise le mode SAML IDP : si ce n'est pas le cas, la vulnérabilité ne s'applique pas à votre environnement
• Analyser les logs d'accès pour détecter des requêtes suspectes vers /saml/login contenant le paramètre « wctx » sans valeur
• Rechercher dans les réponses HTTP la présence de cookies NSC_TASS anormalement volumineux, indicateurs d'une fuite mémoire
• Si le correctif ne peut pas être appliqué immédiatement, désactiver temporairement la fonctionnalité SAML IDP ou restreindre l'accès au point de terminaison /saml/login via des règles de pare-feu

Recommandations immédiates

Citrix recommande d'appliquer sans délai les correctifs disponibles pour NetScaler ADC et Gateway 14.1-66.59 (ou ultérieure) et 13.1-62.23 (ou ultérieure). Les versions 12.1 et 13.0, désormais en fin de vie, ne recevront aucun correctif : les organisations encore sur ces branches doivent migrer en urgence ou isoler l'appliance du réseau public. En complément du correctif, il est recommandé de désactiver temporairement le rôle SAML IDP si la mise à jour ne peut être appliquée immédiatement, de faire tourner les clés de signature SAML et de forcer la réauthentification de toutes les sessions actives après la mise à jour, le cookie NSC_TASS pouvant avoir été compromis avant l'application du correctif.

Comment savoir si je suis vulnérable ?

La vérification passe par le contrôle de la version de build exacte via l'interface d'administration NetScaler (show version en CLI) et par l'audit de la configuration : seules les appliances avec un serveur d'authentification SAML IDP actif (add authentication samlAction) sont exposées. Les équipes doivent également vérifier si le point de terminaison /saml/login est accessible depuis Internet, ce qui constitue le principal vecteur d'exploitation identifié par watchTowr Labs et Rapid7.

Quels sont les indicateurs de compromission ?

Les journaux HTTP de l'appliance doivent être analysés à la recherche de requêtes vers /saml/login contenant un paramètre wctx vide et sans signe égal, ainsi que des charges SAMLRequest dépourvues du champ AssertionConsumerServiceURL. La présence de volumes anormaux de requêtes similaires depuis une même plage d'adresses IP, ou de tentatives répétées visant à extraire des fragments de mémoire via des cookies NSC_TASS de taille inhabituelle, constitue un signal fort de reconnaissance ou d'exploitation active. Le fichier ns.log et les logs WAF associés doivent être conservés pour analyse forensique.

Votre infrastructure est-elle exposée ?

Un audit rapide de la surface d'attaque externe (Shodan, Censys) permettant de recenser les instances NetScaler exposant une interface SAML IDP publique est recommandé, en priorité pour les secteurs finance et administration publique fortement dépendants de cette technologie pour le SSO fédéré. La CISA impose une remédiation avant le 20 avril 2026 pour les agences fédérales américaines soumises à la directive opérationnelle contraignante BOD 22-01, un délai qui constitue une référence de bonne pratique pour toute organisation exposée.