Investigadores revelaron un fallo crítico de desbordamiento de memoria en Citrix NetScaler ADC y Gateway, identificado como CVE-2026-88772. Esta vulnerabilidad en el protocolo DTLS permite a atacantes ejecutar código remoto con privilegios de root o causar denegaciones de servicio. La falla ya está siendo explotada activamente, por lo que se recomienda aplicar los parches de seguridad disponibles.

Investigadores de ciberseguridad han revelado detalles técnicos de un fallo de seguridad crítico recientemente parcheado en Citrix NetScaler ADC y Gateway que ha sido objeto de explotación activa en entornos reales.

La vulnerabilidad, identificada como CVE-2026-88772 (puntuación CVSS: 9.5), ha sido descrita como un error de desbordamiento de memoria en el manejo del protocolo Datagram Transport Layer Security (DTLS) que tiene su origen en el motor de procesamiento de paquetes NetScaler (NSPPE).

"Citrix NetScaler ADC y NetScaler Gateway contienen una vulnerabilidad de restricción inadecuada de operaciones dentro de los límites de un búfer de memoria que podría permitir la ejecución remota de código o la denegación de servicio", afirmó la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) aquí.

El problema, según watchTowr, es que NetScaler confía implícitamente en el tamaño del fragmento declarado en el campo fragment_length de la cabecera del saludo DTLS (por ejemplo, 1 byte), mientras que la cabecera afirma simultáneamente que el mensaje completo, según el campo de longitud, mide 120 bytes.

Esta inconsistencia de análisis puede ser explotada por un atacante para diseñar un registro malicioso que parezca pequeño, mientras que los datos reales que se copian en el búfer son mucho mayores, lo que provoca un desbordamiento.

"Por ejemplo, un mensaje de saludo de 120 bytes puede llegar como 120 fragmentos. Cada fragmento tiene longitud=120, pero cada uno puede tener fragment_length=1", explicó el investigador de seguridad Sina Kheirkhah. "Sus desplazamientos serían 0, 1, 2, y así sucesivamente hasta 119. Una vez que ha llegado cada posición, el servidor considera que el mensaje de 120 bytes está completo. La unión de esas piezas se llama reensamblaje".

Cada paquete recibido de 1.459 bytes se almacena en los búferes de NetScaler (NSB), que luego se cosen en un único búfer temporal de solo 35.840 bytes. Dado que la versión vulnerable no comprueba si el siguiente paquete cabe en el búfer temporal, los datos se escriben más allá del final del búfer y provocan un desbordamiento de búfer.

"Los registros maliciosos indican al código de reensamblaje que cada registro suministra solo un byte de un mensaje de saludo de 120 bytes", dijo Kheirkhah. "Sin embargo, NSPPE mantiene casi todo el registro en un NSB. Después de 120 registros, el mensaje de saludo se considera completo, pero su cadena NSB contiene unos 174 KB de datos".

El análisis de watchTowr encontró además aquí que este desbordamiento puede ser convertido en un arma para desviar el flujo de control hacia un shellcode arbitrario con privilegios de nivel de root utilizando la llamada al sistema mprotect() aquí para anular las protecciones NX (no ejecutable).

La revelación se produce un día después de que la empresa de gestión de exposición preventiva publicara una prueba de concepto (PoC) para CVE-2026-88771, que ha sido abusada junto con CVE-2026-88772 en ataques del mundo real.

Fuente:
THN