گزارش‌های جدید از سوی مدیران سیستم‌های Citrix NetScaler حاکی از بروز کرش‌های مکرر و ری‌بوت‌های اجباری در تجهیزات پس از نصب به‌روزرسانی‌های اضطراری برای آسیب‌پذیری‌های زیرو دِی (Zero-Day) است. این اختلالات اکنون با یک مشکل جدید در پیاده‌سازی‌های احراز هویت SAML مرتبط دانسته شده است.
جزئیات فنی اختلال
این گزارش‌ها مربوط به سیستم‌های NetScaler ADC و Gateway است که در معرض اینترنت قرار دارند و نسخه‌های اصلاح‌شده (از جمله نسخه 14.1-73.37) را اجرا می‌کنند. طبق گزارش‌ها، درخواست‌های مخرب یا بدشکل (Malformed) مرتبط با SAML باعث کرش کردن سرویس احراز هویت nsaaad می‌شوند.
- مکانیسم ری‌بوت: شکست‌های مکرر این Daemon می‌تواند منجر به Failover در سیستم‌های High-Availability (HA) شود یا باعث شود Watchdog دستگاه (معروف به
pitboss) پس از رسیدن به حد نصاب کرش، کل دستگاه را ری‌بوت کند. - شرایط اثرگذاری: این مشکل به‌شدت به پیکربندی وابسته است. تجهیزاتی که به عنوان SAML Service Provider عمل می‌کنند یا سرورهای مجازی Gateway و AAA با اکشن‌های احراز هویت SAML دارند، در معرض این ریسک هستند.
تاثیر بر در دسترس بودن (Availability)
از آنجایی که کامپوننت nsaaad وظیفه توابع احراز هویت، مجوزدهی و حسابداری (AAA) را بر عهده دارد، خرابی مکرر آن می‌تواند دسترسی کاربران به VPN و سرویس‌های دسترسی از راه دور را مختل کند، حتی اگر مهاجم موفق به اجرای کد (Code Execution) نشود.
ارتباط با آسیب‌پذیری‌های قبلی
این اتفاقات پس از پاسخ اضطراری Citrix به دو آسیب‌پذیری بحرانی CVE-2026-88771 (خطای اعتبارسنجی ورودی منجر به Command Execution) و CVE-2026-88772 (سرریز حافظه DTLS منجر به RCE یا DoS) رخ داده است. هر دو آسیب‌پذیری دارای امتیاز CVSS v4 برابر با 9.5 هستند. شواهد فعلی نشان می‌دهد که ری‌بوت‌های مرتبط با SAML یک مشکل مجزا پس از به‌روزرسانی است و لزوماً به معنای دور زدن (Bypass) پچ‌های ماه سپتامبر نیست.
توصیه‌های امنیتی برای مدیران SOC
سازمان‌هایی که از NetScaler برای دورکاری یا احراز هویت فدرال استفاده می‌کنند، باید اقدامات زیر را انجام دهند:
- بررسی پیکربندی‌های SAML در سرورهای مجازی Gateway و AAA.
- بررسی فایل‌های Core، لاگ‌های احراز هویت و تله‌متری فایروال در مسیر
/var/coreبرای شناسایی ارتباط بین ری‌بوت‌ها و ترافیک ورودی SAML. - پایش پیام‌های کرش
nsaaadو بررسی نشست‌های (Sessions) مشکوک مدیریتی یا اتصالات خروجی غیرعادی. - حفظ شواهد دیجیتال پیش از ری‌بوت مجدد دستگاه‌های آسیب‌دیده.
