CVE-2025-5777 — CitrixBleed 2 (Divulgazione di memoria Citrix NetScaler)

CVSS 9.3 — Critico — Sfruttamento attivo in natura

CitrixBleed 2 è una vulnerabilità di divulgazione di memoria in Citrix NetScaler ADC e NetScaler Gateway. Una validazione insufficiente dell'input nell'endpoint di autenticazione causa una lettura fuori dai limiti (CWE-125), consentendo a un attaccante non autenticato di divulgare contenuti sensibili della memoria — inclusi cookie di sessione, materiale crittografico e altri segreti.

Panoramica

Dettagli tecnici

La vulnerabilità risiede nell'endpoint di autenticazione:

POST /p/u/doAuthentication.do

Inviando una richiesta con un parametro login vuoto, la validazione dell'input del server viene bypassata, causando la copia di memoria non inizializzata nella risposta. I dati divulgati appaiono all'interno degli elementi XML <InitialValue> nella risposta HTTP.

Un attaccante può concatenare la perdita di memoria con un attacco di dirottamento di sessione estraendo i cookie di sessione NSC_AAAC dalla memoria divulgata.

Cosa viene divulgato

• Cookie di sessione (NSC_AAAC, NSC_TEMP, ecc.)
• Indirizzi IP interni
• Frammenti di stack / heap
• Materiale crittografico (osservato in alcune perdite)
• Token di sessione di altri utenti

Versioni affette

Solo gli appliance configurati come Gateway (VPN / ICA / CVPN / RDP Proxy) o virtual server AAA sono affetti. La modalità appliance (L2/L3) non è vulnerabile.

Passaggi per la riproduzione

1. Identificare un Citrix NetScaler ADC/Gateway che esegue una versione vulnerabile.
2. Verificare che la modalità Gateway o virtual server AAA sia configurata.
3. Inviare una richiesta POST a /p/u/doAuthentication.do con un parametro login vuoto.
4. Catturare la risposta HTTP ed estrarre i valori degli elementi <InitialValue>.
5. Ispezionare i dati divulgati per cookie di sessione e altri segreti.
6. Se viene trovato un cookie NSC_AAAC, usarlo per impersonare la sessione della vittima.

PoC

POST /p/u/doAuthentication.do HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded

login=&passwd=foo

La risposta conterrà tag <InitialValue> con contenuti di memoria divulgati. Su un sistema aggiornato, <InitialValue> dovrebbe essere semplicemente vuoto.

Mitigazione

1. Aggiornare alla versione firmware corretta elencata sopra.
2. Invalidare tutte le sessioni attive dopo l'aggiornamento per assicurarsi che eventuali token divulgati non siano più validi.
3. Dove non è possibile aggiornare immediatamente, limitare l'accesso all'interfaccia di gestione e agli endpoint di autenticazione tramite ACL o regole WAF.
4. Monitorare per segni di sfruttamento — richieste inaspettate a /p/u/doAuthentication.do con parametri vuoti.

Riferimenti

• Avviso di sicurezza Citrix: https://support.citrix.com/article/CTX691608
• Voce CVE: https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-5777