CVE-2025-5777 — CitrixBleed 2 (Citrix NetScaler メモリ開示)

CVSS 9.3 — Critical — 実環境での活発な悪用

CitrixBleed 2 は、Citrix NetScaler ADC および NetScaler Gateway におけるメモリ開示の脆弱性です。認証エンドポイントでの入力検証の不備により、メモリの境界外読み取り (CWE-125) が発生し、認証されていない攻撃者がセッション Cookie、暗号鍵素材、その他の秘密情報を含む機密メモリ内容を漏えいさせることが可能になります。

概要

技術詳細

この脆弱性は認証エンドポイントに存在します:

POST /p/u/doAuthentication.do

空の login パラメータを含むリクエストを送信すると、サーバーの入力検証がバイパスされ、未初期化メモリがレスポンスにコピーされます。漏えいしたデータは、HTTP レスポンス内の <InitialValue> XML 要素に現れます。

攻撃者は、漏えいしたメモリから NSC_AAAC セッション Cookie を抽出することで、メモリ漏えいをセッションハイジャック攻撃に連鎖させることができます。

漏えいする情報

• セッション Cookie (NSC_AAAC、NSC_TEMP など)
• 内部 IP アドレス
• スタック / ヒープの断片
• 暗号鍵素材 (一部の漏えいで確認)
• 他のユーザーのセッショントークン

影響を受けるバージョン

Gateway (VPN / ICA / CVPN / RDP Proxy) または AAA 仮想サーバーとして構成されているアプライアンスのみが影響を受けます。アプライアンスモード (L2/L3) は脆弱ではありません。

再現手順

1. 脆弱なバージョンを実行している Citrix NetScaler ADC/Gateway を特定します。
2. Gateway または AAA 仮想サーバーモードが構成されていることを確認します。
3. 空の login パラメータを含む POST リクエストを /p/u/doAuthentication.do に送信します。
4. HTTP レスポンスを取得し、<InitialValue> 要素の値を抽出します。
5. 漏えいしたデータにセッション Cookie やその他の秘密情報がないか確認します。
6. NSC_AAAC Cookie が見つかった場合は、それを使用して被害者のセッションになりすまします。

PoC

POST /p/u/doAuthentication.do HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded

login=&passwd=foo

レスポンスには、漏えいしたメモリ内容を含む <InitialValue> タグが含まれます。修正済みのシステムでは、<InitialValue> は単に空になります。

対策

1. 上記に記載されている修正済みファームウェアバージョンにアップグレードします。
2. パッチ適用後、漏えいしたトークンが無効になるように、すべてのアクティブなセッションを無効化します。
3. 直ちにパッチを適用できない場合は、ACL または WAF ルールを使用して管理インターフェースと認証エンドポイントへのアクセスを制限します。
4. 悪用の兆候 (空のパラメータを含む /p/u/doAuthentication.do への不審なリクエスト) を監視します。

参照

• Citrix セキュリティアドバイザリ: https://support.citrix.com/article/CTX691608
• CVE エントリ: https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• NVD: https://nvd.nist.gov/