CVE-2025-5777 — CitrixBleed 2 (Divulgation de mémoire de Citrix NetScaler)

CVSS 9.3 — Critique — Exploitation active dans la nature

CitrixBleed 2 est une vulnérabilité de divulgation de mémoire dans Citrix NetScaler ADC et NetScaler Gateway. Une validation insuffisante des entrées dans le point de terminaison d'authentification provoque une surlire de mémoire (CWE-125), permettant à un attaquant non authentifié de divulguer le contenu sensible de la mémoire — y compris les cookies de session, le matériel cryptographique et d'autres secrets.

Vue d'ensemble

Détails techniques

La vulnérabilité réside dans le point de terminaison d'authentification :

POST /p/u/doAuthentication.do

En envoyant une requête avec un paramètre login vide, la validation d'entrée du serveur est contournée, ce qui l'amène à copier de la mémoire non initialisée dans la réponse. Les données divulguées apparaissent dans les éléments XML <InitialValue> de la réponse HTTP.

Un attaquant peut enchaîner la fuite de mémoire avec une attaque de détournement de session en extrayant les cookies de session NSC_AAAC de la mémoire divulguée.

Ce qui est divulgué

• Cookies de session (NSC_AAAC, NSC_TEMP, etc.)
• Adresses IP internes
• Fragments de pile / tas
• Matériel cryptographique clé (observé dans certaines fuites)
• Jetons de session d'autres utilisateurs

Versions affectées

Seules les appliances configurées en tant que Gateway (VPN / ICA / CVPN / Proxy RDP) ou serveur virtuel AAA sont affectées. Le mode appliance (L2/L3) n'est pas vulnérable.

Étapes de reproduction

1. Identifier un Citrix NetScaler ADC/Gateway exécutant une version vulnérable.
2. Vérifier que le mode Gateway ou serveur virtuel AAA est configuré.
3. Envoyer une requête POST vers /p/u/doAuthentication.do avec un paramètre login vide.
4. Capturer la réponse HTTP et extraire les valeurs des éléments <InitialValue>.
5. Inspecter les données divulguées pour les cookies de session et autres secrets.
6. Si un cookie NSC_AAAC est trouvé, l'utiliser pour usurper la session de la victime.

PoC

POST /p/u/doAuthentication.do HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded

login=&passwd=foo

La réponse contiendra des balises <InitialValue> avec le contenu mémoire divulgué. Sur un système corrigé, <InitialValue> devrait simplement être vide.

Atténuation

1. Mettre à niveau vers la version de firmware corrigée listée ci-dessus.
2. Invalider toutes les sessions actives après le correctif pour garantir que les jetons divulgués ne soient plus valides.
3. Là où un correctif immédiat n'est pas possible, restreindre l'accès à l'interface de gestion et aux points de terminaison d'authentification via des ACL ou des règles WAF.
4. Surveiller les signes d'exploitation — des requêtes inattendues vers /p/u/doAuthentication.do avec des paramètres vides.

Références

• Avis de sécurité Citrix : https://support.citrix.com/article/CTX691608
• Entrée CVE : https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• NVD : https://nvd.nist.gov