KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur untuk mewaspadai kerentanan pada Citrix NetScaler ADC dan NetScaler Gateway yang teridentifikasi dengan nomor CVE-2026-8451. Kerentanan ini memperoleh skor CVSS v4.0 sebesar 8.8 (High) (setara CVSS v3.1 sebesar 7.5 dengan dampak kerahasiaan tinggi) dan hanya aktif apabila appliance dikonfigurasi sebagai SAML Identity Provider (IdP).
NetScaler ADC dan NetScaler Gateway merupakan perangkat tepi jaringan (edge appliance) dari Citrix (Cloud Software Group) yang lazim digunakan untuk menyediakan layanan akses jarak jauh, VPN, serta autentikasi terpadu. Karena posisinya berada di garis depan jaringan dan menghadap langsung ke internet, kompromi terhadap perangkat ini berdampak serius bagi keamanan seluruh infrastruktur di belakangnya.
Ikhtisar
CVE-2026-8451 merupakan kerentanan out-of-bounds read atau kebocoran memori (CWE-125) pada Citrix NetScaler ADC dan NetScaler Gateway. Kerentanan ini termasuk dalam keluarga kerentanan yang dikenal sebagai "CitrixBleed". Penyerang jarak jauh tanpa autentikasi (pra-autentikasi) dapat mengirimkan dokumen XML SAML yang dimanipulasi ke appliance dan menerima kembali potongan isi memori perangkat, yang berpotensi memuat data sensitif seperti token sesi atau kredensial. Citrix merilis buletin CTX696604 beserta tambalan keamanan (patch) pada 30 Juni 2026.
Dampak
Eksploitasi yang berhasil dapat memberi penyerang konsekuensi sebagai berikut:
- Kebocoran isi memori appliance tanpa autentikasi melalui permintaan SAML yang dimanipulasi.
- Potensi terungkapnya data sensitif seperti token sesi maupun kredensial pengguna (dampak kerahasiaan tinggi).
- Pengambilalihan sesi yang sah dengan memanfaatkan token yang bocor, membuka jalan bagi akses tidak sah ke sumber daya internal.
Sistem yang Terdampak
Kerentanan hanya berdampak apabila appliance dikonfigurasi sebagai SAML Identity Provider (IdP).
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| NetScaler ADC / Gateway 14.1 | Semua versi sebelum 14.1-72.61 | 14.1-72.61 atau lebih baru |
| NetScaler ADC / Gateway 13.1 | Semua versi sebelum 13.1-63.18 | 13.1-63.18 atau lebih baru |
| NetScaler ADC FIPS 14.1 | Semua versi sebelum 14.1-72.61-FIPS | 14.1-72.61-FIPS atau lebih baru |
| NetScaler ADC FIPS/NDcPP 13.1 | Semua versi sebelum 13.1-37.272 | 13.1-37.272 atau lebih baru |
Detail Teknis
Akar masalah berada pada parser XML kustom milik NetScaler pada endpoint /saml/login. Saat mem-parsing nilai atribut yang tidak diapit tanda kutip (unquoted attribute value), parser tidak berhenti pada karakter spasi (whitespace) maupun baris baru (newline), sehingga terus membaca memori di luar batas buffer permintaan.
Dengan menyusun dokumen XML SAML yang dimanipulasi secara tepat, penyerang pra-autentikasi dapat memaksa appliance mengembalikan potongan memori yang berada di luar area permintaan. Potongan memori tersebut berpotensi memuat token sesi atau kredensial pengguna lain — pola serangan yang identik dengan keluarga kerentanan "CitrixBleed". Kerentanan ini ditemukan dan didokumentasikan secara rinci oleh peneliti keamanan watchTowr. Hingga saat advisory ini diterbitkan belum ada laporan eksploitasi aktif dan kerentanan ini belum masuk katalog Known Exploited Vulnerabilities (KEV) CISA. Meski demikian, riwayat CitrixBleed pada 2023 menunjukkan bahwa kerentanan sekelas ini cenderung cepat dieksploitasi secara massal setelah diungkap ke publik, sehingga penanganan dini sangat dianjurkan.
Rekomendasi
- Lakukan pembaruan. Tingkatkan NetScaler ADC/Gateway ke versi 14.1-72.61 atau 13.1-63.18, serta 14.1-72.61-FIPS atau 13.1-37.272 untuk varian FIPS/NDcPP, sesuai cabang yang digunakan.
- Nonaktifkan fungsi rentan bila belum dapat menambal. Nonaktifkan fungsi SAML Identity Provider (IdP) sebagai mitigasi sementara jika pembaruan belum dapat segera diterapkan.
- Batasi paparan. Batasi akses appliance dari internet dan hanya izinkan dari jaringan tepercaya selama proses pembaruan berlangsung.
- Batalkan sesi aktif. Setelah pembaruan, pertimbangkan pencabutan (revoke) token dan sesi yang sedang berjalan untuk mencegah penyalahgunaan token yang mungkin telah bocor.
- Pantau aktivitas. Awasi log appliance terhadap permintaan tidak wajar ke endpoint
/saml/loginserta indikasi upaya akses tidak sah.
Perangkat Daerah yang menggunakan Citrix NetScaler ADC atau NetScaler Gateway dan membutuhkan pendampingan teknis dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi.
Referensi
- NVD — CVE-2026-8451
- Citrix — Buletin Keamanan CTX696604
- watchTowr Labs — Analisis Teknis CVE-2026-8451