Unauthenticated remote arbitrary code execution

Falha de bypass de autenticação em Citrix ADC e Citrix Gateway que permite execução remota de código como administrador, sem autenticação, mas apenas quando o dispositivo está configurado como SAML SP (Service Provider) ou SAML IdP (Identity Provider). É uma condição de configuração específica, não o padrão de fábrica — a maioria dos ADCs não usa SAML e não é afetada por esta rota de exploração. Ainda assim, foi explorada como zero-day por ator estatal antes da divulgação pública, o que justifica a entrada na KEV da CISA com prazo de correção de três semanas.

A CWE associada é CWE-664 (controle impróprio do ciclo de vida de um recurso), consistente com falha na validação/processamento da configuração SAML no componente responsável por SSO no ADC/Gateway. Quando o appliance atua como SP ou IdP SAML, o fluxo de processamento das mensagens SAML (assertions, metadata ou requisições associadas ao SSO) não impõe corretamente os controles de autenticação esperados, permitindo que uma requisição não autenticada alcance funcionalidade que deveria exigir sessão válida ou privilégio administrativo.

A Citrix e a CISA não publicaram detalhes de baixo nível sobre o parsing exato que falha (não há, nas fontes disponíveis, indicação do endpoint específico, parâmetro manipulado ou payload). O que se sabe com certeza, pela descrição oficial e pelo registro da KEV, é o resultado: execução de código com privilégio de administrador no appliance, alcançável remotamente e sem credenciais, condicionado à presença de configuração SAML SP/IdP ativa.

O impacto é máximo porque o ADC/Gateway normalmente fica exposto na borda da rede (gateway de acesso remoto/VPN SSL), e comprometer o appliance dá ao atacante controle sobre tráfego de autenticação e acesso remoto de toda a organização — não é só RCE em um serviço isolado, é RCE no ponto de controle de acesso.

O vetor é rede, sem necessidade de autenticação prévia (AC:L, PR:N, UI:N no CVSS), mas com pré-requisito de configuração: o appliance precisa estar operando com SAML SP ou SAML IdP habilitado — cenário comum em integrações de SSO corporativo, mas não universal. Ambientes que usam apenas autenticação local, LDAP/RADIUS tradicional ou outros métodos de SSO não SAML não expõem esta rota específica.

Há exploração confirmada na natureza anterior à divulgação pública: a KEV da CISA lista a falha com exploração ativa conhecida, e o padrão de divulgação (advisory de emergência da Citrix seguido de entrada imediata na KEV com prazo curto) é típico de zero-day usado por ator avançado contra alvos específicos antes que existisse patch. Existe PoC pública posterior à divulgação, o que elevou o risco para qualquer instância ainda vulnerável e exposta.

O resultado final da exploração é execução de código arbitrário com privilégios de administrador no appliance — controle total do dispositivo, incluindo capacidade de interceptar/modificar sessões de VPN e SSO, extrair configuração e certificados, e usar o appliance como pivô para a rede interna.

A ação recomendada pela Citrix e reforçada pela CISA é aplicar a atualização do fornecedor imediatamente — a KEV define prazo de correção de 2022-12-13 a 2023-01-03, indicando severidade de resposta. Não há, nas fontes disponíveis aqui, os números exatos de build corrigidos citados no advisory CTX474995; para aplicar o patch correto, consulte diretamente esse artigo da Citrix e confirme o branch de versão (12.1, 13.0, 13.1, FIPS) e o build mínimo corrigido antes de agir.

Como controle compensatório imediato, caso a atualização não seja possível: se a configuração SAML SP/IdP não for estritamente necessária, desabilitá-la remove a superfície de exploração dessa CVE específica — mas isso quebra qualquer fluxo de SSO que dependa dela, custo operacional real para quem usa. Restringir o acesso administrativo e de gerenciamento do ADC/Gateway a redes confiáveis (fora da exposição direta à internet) reduz a superfície de ataque geral, mas não elimina o risco se a interface vulnerável do SAML estiver na mesma superfície exposta usada para acesso remoto legítimo.

Não existe mitigação via WAF documentada nas fontes consultadas — trata-se de falha na lógica de autenticação do próprio appliance, não de um padrão de payload HTTP filtrável de forma confiável. Considerar a instância comprometida e investigar indicadores de comprometimento (não apenas aplicar o patch) é recomendado para qualquer ADC/Gateway com SAML SP/IdP que tenha ficado exposto e vulnerável antes da correção, dado o histórico de exploração como zero-day contra alvos específicos.

Não há, nas fontes disponíveis, indicadores técnicos (assinatura de log, padrão de requisição HTTP, IOC de rede) publicados para esta CVE especificamente. Como pré-requisito de exploração é ter SAML SP/IdP configurado, o primeiro passo defensivo é auditar se essa configuração está ativa no appliance; havendo, revisar logs de autenticação SAML e logs administrativos do ADC/Gateway por atividade anômala (criação de contas, alterações de configuração, sessões administrativas não correlacionadas a login humano) no período anterior à aplicação do patch, já que a exploração documentada ocorreu antes da divulgação pública.