l0lsec/check-cve-2026-3055-netscaler

# CVE-2026-3055 NetScaler SAML IdP 检测 用于探测 Citrix NetScaler / NetScaler Gateway 设备是否存在 [CVE-2026-3055](https://nvd.nist.gov/vuln/detail/CVE-2026-3055)（在充当 **SAML Identity Provider** 时的内存越界读取）的 Python 辅助脚本。检测逻辑与 [watchTowr Labs](https://labs.watchtowr.com/the-sequels-are-never-as-good-but-were-still-in-pain-citrix-netscaler-cve-2026-3055-memory-overread/) 公开的报告相符。 ## 前置条件 - Python 3.10+ - 仅适用于**配置为 SAML IdP** 的设备。未配置该角色的 Gateway 通常在 `/saml/login` 上返回 404；这代表**不适用**于此 CVE，而不是“不受所有 NetScaler 问题的影响”。 ## 安装 ``` cd check-cve-2026-3055-netscaler python3 -m venv .venv source .venv/bin/activate # Windows: .venv\Scripts\activate pip install -r requirements.txt ``` ## 用法 ``` python check_cve_2026_3055.py --targets https://netscaler.example.com https://10.0.0.1 ``` 可选项： - `--timeout SECONDS` — HTTP 超时时间（默认：10） TLS 证书验证被**有意禁用**（这在实验室/自签名证书设备中很常见）。 ## 结果解读 | 结果 | 含义 | |--------|---------| | **POTENTIALLY VULNERABLE** | 在构造的 POST 请求后响应中包含 `NSC_TASS` cookie（根据 watchTowr 的报告）。**请打补丁。** | | **PATCHED** | 响应体包含 `Parsing of presented Assertion failed`（文章中描述的已打补丁行为）。 | | **NOT APPLICABLE** | 无 cookie 且无已打补丁标志（通常是 HTTP 404）——未使用 SAML IdP 路径或响应形式不同。 | | **UNREACHABLE** | 网络 / 超时 / 连接错误。 | 这是一项**低影响的主动检查**（仅向 `/saml/login` 发送一个 POST 请求以及向 `/metadata/samlidp/` 发送一个 GET 请求）。请仅在您已被授权测试的系统上使用。 ## 参考 - [watchTowr: Citrix NetScaler CVE-2026-3055 Memory Overread](https://labs.watchtowr.com/the-sequels-are-never-as-good-but-were-still-in-pain-citrix-netscaler-cve-2026-3055-memory-overread/) - Citrix 咨询公告及已修复版本：请遵循您所在版本的供应商指导（例如 14.1-66.59+、13.1-62.23+，如文章所述）。 ## 许可证 仅供授权安全评估使用，风险自负。

标签：CISA项目, Citrix NetScaler, CVE-2026-3055, HTTP请求, Linux取证, NetScaler Gateway, PoC, Python, SAML IdP, TLS忽略, URL发现, 主动探测, 企业安全, 内存越界读取, 子域名暴力破解, 安全合规, 安全检测, 插件系统, 无后门, 暴力破解, 网络代理, 网络安全, 网络资产管理, 自动化检测, 逆向工具, 隐私保护