SAML-authenticatie op NetScaler
Citrix onderzoekt een nieuwe kwetsbaarheid in NetScaler-omgevingen die SAML-authenticatie gebruiken in combinatie met Gateway of AAA.
T-Update
Deze liveblog bevat informatie over een nieuwe kwetsbaarheid in NetScaler-omgevingen die SAML-authenticatie gebruiken in combinatie met Gateway of AAA.
Laatste update blog op 3 oktober
Update 3 oktober 2026
Citrix onderzoekt een nieuw kwetsbaarheid in NetScaler-omgevingen die SAML-authenticatie gebruiken in combinatie met Gateway of AAA. Citrix kondigt een security bulletin en bijbehorende updates aan, maar heeft op dit moment nog geen gepatchte versie, CVE-nummer of volledige analyse gepubliceerd.
Achtergrond
Citrix onderzoekt een nieuw kwetsbaarheid in NetScaler-omgevingen die SAML-authenticatie gebruiken in combinatie met Gateway of AAA. Volgens Citrix staat dit probleem los van de kwetsbaarheden uit bulletin CTX697096, waarover wij eerder berichtten. Het probleem treedt alleen op bij een specifieke configuratie.
Risico
Een NetScaler is volgens Citrix getroffen als ten minste één van de volgende configuratieregels aanwezig is:
add authentication samlAction
add authentication samlIdPProfile
Dit betreft zowel NetScalers die optreden als SAML ServiceProvider als NetScalers die als SAML Identity Provider zijn ingericht. Beheerders melden dat het authenticatieproces nsaaad vastloopt bij het verwerken van afwijkende SAML-verzoeken. Dit kan leiden tot een failover binnen een high-availability-configuratie of tot een herstart van de appliance. Dit betreft ook systemen die al zijn bijgewerkt naar 14.1-73.37 of13.1-64.23.
Wij beschouwen dit als een beveiligingsprobleem en niet alleen als een stabiliteitsprobleem. Inmiddels is misbruik van de kwetsbaarheid waargenomen.
Citrix publiceert het via het security-kanaal en kondigt een security bulletin aan. Zolang de oorzaak niet bekend is, kan niet worden uitgesloten dat het probleem verder misbruikt kan worden dan het laten vastlopen van de dienst. Een SAML-configuratie op een Gateway of AAA virtual server is daarnaast per definitie vanaf internet bereikbaar.
Een herstart of failover is geen betrouwbare indicator van wat er is gebeurd. Een vastgelopen proces kan wijzen op een mislukte poging, maar sluit een geslaagde poging niet uit.
Advies
- Stel vast of SAML is geconfigureerd. Voer op iedere NetScaler het volgende commando uit:
show ns runningConfig | grep -i "add authentication saml"
Geeft dit resultaat met samlAction of samlIdPProfile, dan valt de appliance binnen de scope van dit probleem.
Controleer alle nodes.
Indien een Netscaler binnen de scope valt:
- Stel bewijsmateriaal veilig bij een crash of herstart. Borg core dumps uit /var/core/, de logbestanden en een support bundle voordat de appliance opnieuw wordt opgestart of gewijzigd. Zonder deze gegevens kan achteraf niet worden vastgesteld wat de oorzaak was.
- Ontsluit de kwetsbare node van het netwerk, Controleer of een momenteel passieve node deze configuratie niet heeft.
- Monitor op herhaalde crashes. Houd in ns.log en in uw SIEM meldingen over het vastlopen of herstarten van nsaaad, onverwachte failovers en herstarts van de appliance in de gaten.
- Neem contact op met Citrix Support als u hier op dit moment hinder van ondervindt, conform het advies van Citrix.
- Installeer de gepatchte versie zodra het bulletin verschijnt. Plan hiervoor nu al een onderhoudsvenster in. Volg het security bulletin van Citrix voor de definitieve lijst met getroffen versies en gepatchte builds.
Schrijf je in voor T-Updates
Ontvang elke woensdag het laatste nieuws over malware of kwetsbaarheden in je mail
More than 1,000 organisations have already joined us.
