Test Citrix Exception (prueba de la mitigación de CVE-2025-6759)

La documentación de Citrix sobre CVE-2025-6759 contiene una mitigación alternativa que consiste en deshabilitar el manejador de excepciones de Citrix desde el registro.

Sin embargo, esa documentación no responde a la pregunta: ¿Este cambio requerirá reiniciar el servicio VDA o el servidor o no? por lo que esta herramienta se creó para probarlo.

Fuentes:

• CTX676735 proporciona un poco más de información sobre cómo funciona ese manejo de excepciones y sus claves de registro.
• La publicación del blog de Rapid 7 nos dice que los procesos relacionados con esta vulnerabilidad son GfxMgr.exe y CtxGfx.exe
  • ¡NOTA! Parece que el archivo GfxMgr.exe no existe en absoluto en entornos que no tienen instalada la característica HDX 3D Pro/HDX Graphics, por lo que lo más probable es que esta vulnerabilidad ni siquiera los afecte, pero es imposible estar seguros de eso a menos que Citrix nos proporcione más información sobre este problema.

Investigación

¿Cómo se carga el manejador de excepciones?

En una instalación estándar, el manejador de excepciones se encuentra en la carpeta C:\Program Files\Citrix\ExceptionHandler y con Process Explorer podemos ver que los procesos de CtxGfx.exe que se ejecutan en servidores VDA no tienen cargados los DLL del manejador de excepciones.

Esto significa que esos DLL se cargan dinámicamente solo cuando se necesitan y que por eso los cambios en la configuración del registro deberían activarse inmediatamente incluso para los procesos VDA ya en ejecución.

Pruebas con TestCitrixException.exe

Puedes encontrar la versión binaria de TestCitrixException.exe en los lanzamientos.

Al ejecutarlo, se detiene para esperar "Pulse cualquier tecla para continuar..." y puedes ver con Process Explorer que en este punto los DLL del manejador de excepciones aún no están cargados:

Cuando continúes ese proceso, el manejador de excepciones creará la carpeta C:\ProgramData\Citrix\CDF\Reports\TestCitrixException.exe y el volcado de memoria en esa ubicación.

Si vuelves a hacer lo mismo, pero esta vez cambias la clave de registro, no se creará el volcado de memoria 🎉