Тестирование исключения Citrix (проверка смягчения CVE-2025-6759)

Документация Citrix о CVE-2025-6759 содержит альтернативное смягчение путем отключения обработчика исключений Citrix через реестр.

Однако эта документация не отвечает на вопрос: Потребуется ли перезапуск службы VDA или сервера для этого изменения или нет? поэтому этот инструмент был создан для его проверки.

Sources:

• CTX676735 предоставляет немного больше информации о том, как работает этот механизм обработки исключений и его ключи реестра.
• Запись в блоге от Rapid 7 сообщает нам, что процессы, связанные с этой уязвимостью, — это GfxMgr.exe и CtxGfx.exe
  • ПРИМЕЧАНИЕ! Похоже, что файл GfxMgr.exe вообще не существует в средах, на которых не установлена функция HDX 3D Pro/HDX Graphics, поэтому, скорее всего, эта уязвимость даже не затрагивает их, но невозможно быть уверенным в этом, пока Citrix не предоставит нам больше информации об этой проблеме.

Исследование

Как загружается обработчик исключений?

При стандартной установке обработчик исключений находится в папке C:\Program Files\Citrix\ExceptionHandler, и с помощью Process Explorer мы можем видеть, что процессы CtxGfx.exe, выполняющиеся на серверах VDA, не имеют загруженных DLL обработчика исключений.

Это означает, что эти DLL загружаются динамически только при необходимости, и поэтому изменения в настройках реестра должны активироваться немедленно даже для уже запущенных процессов VDA.

Тестирование с помощью TestCitrixException.exe

Вы можете найти бинарную версию TestCitrixException.exe в релизах.

При запуске он останавливается в ожидании "Press any key to continue...", и с помощью Process Explorer вы можете увидеть, что на этом этапе DLL обработчика исключений еще не загружены:

Когда вы продолжите выполнение этого процесса, обработчик исключений создаст папку C:\ProgramData\Citrix\CDF\Reports\TestCitrixException.exe и сохранит дамп памяти туда.

Если вы сделаете то же самое снова, но на этот раз измените ключ реестра, дамп памяти не будет создан 🎉