Test Citrix Exception (Test der CVE-2025-6759-Entschärfung)

Die Citrix-Dokumentation zu CVE-2025-6759 enthält eine alternative Entschärfung, indem der Citrix-Ausnahmebehandler über die Registrierung deaktiviert wird.

Allerdings beantwortet diese Dokumentation nicht die Frage: Benötigt diese Änderung einen Neustart des VDA-Dienstes oder des Servers oder nicht? Daher wurde dieses Tool entwickelt, um es zu testen.

Quellen:

• CTX676735 liefert etwas mehr Informationen darüber, wie diese Ausnahmebehandlung und ihre Registrierungsschlüssel funktionieren.
• Blogbeitrag von Rapid 7 informiert uns darüber, dass Prozesse, die mit dieser Schwachstelle zusammenhängen, GfxMgr.exe und CtxGfx.exe sind.
  • HINWEIS! Es scheint, dass die Datei GfxMgr.exe in Umgebungen, die nicht über die Funktion HDX 3D Pro/HDX Graphics verfügen, überhaupt nicht existiert. Daher betrifft diese Schwachstelle diese Umgebungen höchstwahrscheinlich nicht einmal, aber es ist unmöglich, sich dessen sicher zu sein, es sei denn, Citrix liefert uns weitere Informationen zu diesem Problem.

Forschung

Wie wird der Ausnahmebehandler geladen?

Bei einer Standardinstallation befindet sich der Ausnahmebehandler im Ordner C:\Program Files\Citrix\ExceptionHandler, und mit Process Explorer können wir sehen, dass CtxGfx.exe-Prozesse, die auf VDA-Servern laufen, keine Ausnahmebehandler-DLLs geladen haben.

Das bedeutet, dass diese DLLs nur bei Bedarf dynamisch geladen werden und dass Änderungen an den Registrierungseinstellungen daher sofort wirksam werden sollten, selbst für bereits laufende VDA-Prozesse.

Testen mit TestCitrixException.exe

Eine Binärversion von TestCitrixException.exe finden Sie in den Releases.

Wenn es ausgeführt wird, stoppt es und wartet auf "Press any key to continue...", und Sie können mit Process Explorer sehen, dass die Ausnahmebehandler-DLLs zu diesem Zeitpunkt noch nicht geladen sind:

Wenn Sie diesen Prozess fortsetzen, erstellt der Ausnahmebehandler den Ordner C:\ProgramData\Citrix\CDF\Reports\TestCitrixException.exe und legt dort ein Speicherabbild ab.

Wenn Sie dasselbe erneut tun, aber dieses Mal den Registrierungsschlüssel ändern, wird kein Speicherabbild erstellt 🎉