CitrixBleed 卷土重来，而教训比漏洞更久远

向 NetScaler 发送一个它无法解析的登录请求，它做的比拒绝您更糟：它把自身内存的一段读出来，写进 cookie 交到您手上。您始终没有通过认证。而这正是要害所在。

6 月 30 日，Citrix 修复了 CVE-2026-8451 [1][2]，这是一个认证前内存越界读取漏洞，影响被配置为 SAML 身份提供方的 NetScaler ADC 与 Gateway。@watchtowrcyber 的研究人员在 NetScaler 自身的 SAML XML 解析器中发现了它。发送一个属性值未闭合的 AuthnRequest，解析器就会越过字段末尾继续读取——因为它只在遇到空字节或 > 时停止，从不理会本该终止它的换行符。相邻内存中的任何内容都会以 base64 编码，随响应 cookie 返回给发送方。堆指针。缓冲区内容。会话数据。在线凭证的碎片。

无需立足点。无需漏洞链。您向正门提出一个残缺的问题，它便用自己的 RAM 作答。

攻击者在一夜之间看懂了它的价值。Lupovis 报告称，补丁发布后 24 小时内即出现野外利用，早于该漏洞进入 CISA 已知被利用漏洞列表 [3][4]。这种速度本身就说明了问题。针对 SAML IdP 的漏洞值得立即武器化，因为 IdP 决定着谁被认证为可访问其后一切系统的身份。泄漏它的内存，您伸手去拿的便是那些会话令牌——它们让您以已通过校验者的身份长驱直入。

这属于 CitrixBleed 的家族。2023 年的原版泄漏了数 KB 内容，将在线会话令牌交到攻击者手中，他们从自己的机器上重放这些令牌——波音、中国工商银行（ICBC）和 DP World 就是这样进入故事的。网关毫无察觉，因为一个有效的会话令牌就是有效的会话令牌，无论握在谁手里。

在这方面，Citrix 并非唯一的疏忽者。任何终结 SSO 的设备，都会把在线机密保存在解析敌意输入的那个进程的内存中。这是架构本身，而非某次失误。这也意味着，该进程中任意一处内存安全缺陷，都会把信任锚点变成一台信息泄露的神谕。这一类系统并非在本周才变得脆弱。它一直就是这个形状，只是攻击者终于给它标上了价格。

以下是我们坚持的底线。凭证绝不应以可读形式存在于面向互联网的进程内存中。如果机密从未出现在那段内存里，解析器漏洞便无物可泄。会话令牌应当绑定到为其签发的那台机器，这样一块散落的碎片在任何人手中都是废料。而保存它的保管库，应当连其运维者自身也无法从中读出明文——因为一个读不出自身的保管库，也就无法被诱骗把自身读给陌生人。

这正是 Clavitor 的构建基础。凭证不栖身于代码运行之处。令牌绑定其所属机器。一座对自身内容视而不见的保管库，配以不可篡改、离机存储的审计轨迹（PCI DSS Req 10 所要求的正是此类），在每次读取发生的瞬间即记录在案。

这一切并不意味着 CVE-2026-8451 是一场末日，这一点值得说清楚。越界读取会在控制字节处停止，因此每次请求只泄出几个字节，而非 2023 年那样的数 KB，且仅在设备以 SAML IdP 身份运行时才会发生。防守方在一天内就捕捉到了它。危险从来不在于这一漏洞的字节数。而在于其底下的形态：把凭证放进那台应答陌生人的机器的内存里，那么未来十年的每一个解析器漏洞，都是一个等待分配 CVE 编号的凭证泄漏事件。字节数会变。形态不会。

所以，请为 NetScaler 打上补丁。然后好好面对补丁并未触及的那个问题：为什么本该被窃取的东西，一开始就在那段内存里？

如果您想看一份凭证系统绝不应违反的规则清单，我们已经写好了。https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) 是为 AI 智能体而建、同时也是防备 AI 智能体的凭证保管库。clavitor.ai

来源

[1] watchTowr Labs，《CitrixBleed 飞向无限：Citrix NetScaler 认证前内存越界读取（CVE-2026-8451）》，Aliz Hammond 著。@watchtowrcyber

[2] Citrix，NetScaler ADC 与 NetScaler Gateway 安全公告，CVE-2026-8451（CVSS 8.8），2026 年 6 月 30 日发布补丁。@citrix

[3] Lupovis，CVE-2026-8451 在公开披露后 24 小时内被检测到野外利用。

[4] CyberScoop 与 BleepingComputer，关于 NetScaler SAML 内存泄露漏洞遭主动利用的报道。