Test Citrix Exception (test della mitigazione CVE-2025-6759)

La documentazione Citrix su CVE-2025-6759 contiene una mitigazione alternativa che consiste nel disabilitare il gestore delle eccezioni Citrix dal registro di sistema.

Tuttavia, quella documentazione non risponde alla domanda: Questa modifica richiederà un riavvio del servizio VDA o del server oppure no? quindi questo strumento è stato creato per testarlo.

Fonti:

• CTX676735 fornisce qualche informazione in più su come funzionano la gestione delle eccezioni e le relative chiavi di registro.
• Post del blog di Rapid 7 ci dice che i processi correlati a questa vulnerabilità sono GfxMgr.exe e CtxGfx.exe
  • NOTA! Sembra che il file GfxMgr.exe non esista affatto negli ambienti in cui non è installata la funzionalità HDX 3D Pro/HDX Graphics, quindi molto probabilmente questa vulnerabilità non li riguarda nemmeno, ma è impossibile esserne certi a meno che Citrix non ci fornisca maggiori informazioni su questo problema.

Ricerca

Come viene caricato il gestore delle eccezioni?

In un'installazione standard, il gestore delle eccezioni si trova nella cartella C:\Program Files\Citrix\ExceptionHandler e con Process Explorer possiamo vedere che i processi CtxGfx.exe in esecuzione sui server VDA non hanno le DLL del gestore delle eccezioni caricate.

Ciò significa che queste DLL vengono caricate dinamicamente solo quando necessario ed è per questo che le modifiche alle impostazioni del registro dovrebbero attivarsi immediatamente anche per i processi VDA già in esecuzione.

Test con TestCitrixException.exe

Puoi trovare la versione binaria di TestCitrixException.exe nelle releases.

Quando viene eseguito, si ferma in attesa di "Press any key to continue..." e con Process Explorer puoi vedere che a questo punto le DLL del gestore delle eccezioni non sono ancora caricate:

Quando continui il processo, il gestore delle eccezioni creerà la cartella C:\ProgramData\Citrix\CDF\Reports\TestCitrixException.exe e un dump di memoria al suo interno.

Quando ripeti la stessa operazione ma questa volta modificando la chiave di registro, il dump di memoria non verrà creato 🎉