Sự cố khởi động lại trên Citrix NetScaler và lỗ hổng CVE
Người dùng Citrix NetScaler đang đối mặt với tình trạng thiết bị tự động khởi động lại liên tục sau khi cài đặt bản dựng 14.1-73.37. Đây là bản cập nhật khẩn cấp được phát hành nhằm xử lý các lỗ hổng CVE nghiêm trọng đang bị khai thác tích cực trong môi trường thực tế.
Các báo cáo kỹ thuật chỉ ra rằng lỗi này có liên quan đến lưu lượng xác thực SAML được chế tạo đặc biệt, gây ra sự cố treo dịch vụ nsaaad. Hiện tại, đội ngũ kỹ thuật của Citrix đang tiến hành theo dõi vấn đề SAML mới phát sinh này để chuẩn bị phát hành bản tin bảo mật cùng bản dựng sửa lỗi tiếp theo.
Chi tiết về lỗ hổng và rủi ro vận hành
Mặc dù xảy ra hiện tượng khởi động lại, hiện chưa có bằng chứng xác thực rằng kẻ tấn công đã vượt qua được các bản vá tháng 9. Bản dựng 14.1-73.37 vẫn là phiên bản sửa lỗi chính thức cho CVE-2026-88771 và CVE-2026-88772.
Trong đó, lỗ hổng đầu tiên cho phép kẻ tấn công không cần xác thực vẫn có thể thực thi lệnh trên các thiết bị bị ảnh hưởng. Lỗ hổng thứ hai có thể dẫn đến việc thực thi mã từ xa hoặc từ chối dịch vụ (DoS) khi cấu hình DTLS được kích hoạt.
Hiện tượng treo dịch vụ nsaaad và tác động hệ thống
Dịch vụ nsaaad đóng vai trò xử lý các tác vụ xác thực quan trọng trên thiết bị. Việc gửi các yêu cầu được chế tạo đặc biệt có thể khiến tiến trình này bị treo, dù chưa chắc chắn kẻ gửi yêu cầu đã giành được quyền kiểm soát thiết bị.
Các sự cố treo lặp lại có khả năng tạo ra tình trạng từ chối dịch vụ nghiêm trọng, đặc biệt đối với các cổng kết nối internet phục vụ làm việc từ xa. Hệ thống có thể gặp gián đoạn nếu cả hai nút trong cặp dự phòng (high-availability pairs) cùng nhận lưu lượng độc hại hoặc khởi động lại luân phiên. Quy trình giám sát của pitboss watchdog sẽ tự động khởi động lại thiết bị sau khi phát hiện quá nhiều lỗi trong tiến trình nsaaad.
Hướng dẫn xử lý và điều tra sự cố cho quản trị viên
Các đội ngũ bảo mật nên thực hiện lưu trữ các tệp lõi, nhật ký hệ thống, hồ sơ xác thực và gói hỗ trợ trước khi quá trình khởi động lại làm mất dấu vết. Việc đối chiếu thời gian khởi động lại với các yêu cầu SAML đến, nhật ký tường lửa và nhật ký nhà cung cấp danh tính là bước cần thiết để phân tích.
- Kiểm tra các thông báo lỗi treo dịch vụ nsaaad.
- Rà soát tệp tin trong thư mục /var/core.
- Đối chiếu các thay đổi cấu hình gần đây.
- Tìm kiếm các phiên quản trị không xác định và lưu lượng outbound bất thường.
Các tổ chức cần xác nhận phiên bản xây dựng hiện tại trên tất cả các nút hoạt động và dự phòng. Theo bản tin CTX697096, các bản dựng 14.1-73.37, 13.1-64.23 cùng các phiên bản FIPS hoặc NDcPP tương ứng là những bản vá chính thức cho các lỗ hổng zero-day này.
Cần lưu ý rằng việc áp dụng bản vá chỉ ngăn chặn các hình thức khai thác mới. Quản trị viên phải kiểm tra các dấu hiệu tồn tại từ trước như web shells hoặc các quyền truy cập trái phép đã được thiết lập trước thời điểm cập nhật.
