CVE-2025-5777 — CitrixBleed 2 (Citrix NetScaler 메모리 노출)

CVSS 9.3 — 치명적 — 야생에서 활발한 악용 중

CitrixBleed 2는 Citrix NetScaler ADC 및 NetScaler Gateway의 메모리 노출 취약점입니다. 인증 엔드포인트의 불충분한 입력 검증으로 인해 메모리 초과 읽기(CWE-125) 가 발생하며, 인증되지 않은 공격자가 세션 쿠키, 암호화 자료 및 기타 비밀 정보를 포함한 민감한 메모리 내용을 유출할 수 있습니다.

개요

기술적 세부 사항

이 취약점은 인증 엔드포인트에 존재합니다:

POST /p/u/doAuthentication.do

빈 login 매개변수가 포함된 요청을 보내면 서버의 입력 검증이 우회되어 초기화되지 않은 메모리가 응답에 복사됩니다. 유출된 데이터는 HTTP 응답의 <InitialValue> XML 요소 내부에 나타납니다.

공격자는 유출된 메모리에서 NSC_AAAC 세션 쿠키를 추출하여 메모리 누출을 세션 하이재킹 공격과 연결할 수 있습니다.

유출되는 정보

• 세션 쿠키 (NSC_AAAC, NSC_TEMP 등)
• 내부 IP 주소
• 스택/힙 조각
• 암호화 키 자료 (일부 유출 사례에서 관찰됨)
• 다른 사용자의 세션 토큰

영향받는 버전

Gateway(VPN / ICA / CVPN / RDP 프록시) 또는 AAA 가상 서버로 구성된 어플라이언스만 영향을 받습니다. 어플라이언스 모드(L2/L3)는 취약하지 않습니다.

재현 단계

1. 취약한 버전을 실행 중인 Citrix NetScaler ADC/Gateway를 식별합니다.
2. Gateway 또는 AAA 가상 서버 모드가 구성되어 있는지 확인합니다.
3. 빈 login 매개변수를 사용하여 /p/u/doAuthentication.do로 POST 요청을 보냅니다.
4. HTTP 응답을 캡처하고 <InitialValue> 요소 값을 추출합니다.
5. 유출된 데이터에서 세션 쿠키 및 기타 비밀 정보를 검사합니다.
6. NSC_AAAC 쿠키가 발견되면 이를 사용하여 피해자 세션을 가장합니다.

PoC

POST /p/u/doAuthentication.do HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded

login=&passwd=foo

응답에는 유출된 메모리 내용이 포함된 <InitialValue> 태그가 포함됩니다. 패치된 시스템에서는 <InitialValue>가 단순히 비어 있어야 합니다.

완화 방법

1. 위에 나열된 패치된 펌웨어 버전으로 업그레이드합니다.
2. 패치 적용 후 모든 활성 세션을 무효화하여 유출된 토큰이 더 이상 유효하지 않도록 합니다.
3. 즉시 패치가 불가능한 경우 ACL 또는 WAF 규칙을 통해 관리 인터페이스 및 인증 엔드포인트에 대한 접근을 제한합니다.
4. 빈 매개변수가 포함된 /p/u/doAuthentication.do에 대한 비정상적인 요청 등 악용 징후를 모니터링합니다.

참고 자료

• Citrix 보안 권고: https://support.citrix.com/article/CTX691608
• CVE 항목: https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• NVD: https://nvd.nist.gov/