CVE-2025-5777 — CitrixBleed 2 (Утечка памяти Citrix NetScaler)

CVSS 9.3 — Критический — Активная эксплуатация в реальных условиях

CitrixBleed 2 — это уязвимость раскрытия памяти в Citrix NetScaler ADC и NetScaler Gateway. Недостаточная проверка входных данных в конечной точке аутентификации приводит к чтению за пределами памяти (CWE-125), что позволяет неаутентифицированному злоумышленнику утекать содержимое чувствительной памяти, включая сессионные куки, криптографический материал и другие секреты.

Обзор

Технические детали

Уязвимость находится в конечной точке аутентификации:

POST /p/u/doAuthentication.do

Отправляя запрос с пустым параметром login, проверка входных данных сервера обходится, что заставляет его копировать неинициализированную память в ответ. Утекшие данные появляются внутри XML-элементов <InitialValue> в HTTP-ответе.

Злоумышленник может объединить утечку памяти с атакой перехвата сессии, извлекая сессионные куки NSC_AAAC из утекшей памяти.

Что утекает

• Сессионные куки (NSC_AAAC, NSC_TEMP и т.д.)
• Внутренние IP-адреса
• Фрагменты стека/кучи
• Криптографический ключевой материал (наблюдалось в некоторых утечках)
• Токены сессий других пользователей

Затронутые версии

Только устройства, настроенные как Gateway (VPN/ICA/CVPN/RDP-прокси) или AAA virtual server, подвержены уязвимости. Режим устройства (L2/L3) не уязвим.

Шаги по воспроизведению

1. Определите Citrix NetScaler ADC/Gateway, работающий на уязвимой версии.
2. Убедитесь, что настроен режим Gateway или AAA virtual server.
3. Отправьте POST-запрос на /p/u/doAuthentication.do с пустым параметром login.
4. Захватите HTTP-ответ и извлеките значения элементов <InitialValue>.
5. Изучите утекшие данные на наличие сессионных кук и других секретов.
6. Если найден кук NSC_AAAC, используйте его для подмены сессии жертвы.

PoC

POST /p/u/doAuthentication.do HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded

login=&passwd=foo

Ответ будет содержать теги <InitialValue> с содержимым утекшей памяти. На исправленной системе <InitialValue> должен быть просто пустым.

Меры по снижению риска

1. Обновите до исправленной версии прошивки, указанной выше.
2. Аннулируйте все активные сессии после установки патча, чтобы гарантировать, что любые утекшие токены больше недействительны.
3. Если немедленное обновление невозможно, ограничьте доступ к интерфейсу управления и конечным точкам аутентификации с помощью ACL или правил WAF.
4. Отслеживайте признаки эксплуатации — неожиданные запросы к /p/u/doAuthentication.do с пустыми параметрами.

Ссылки

• Citrix Security Advisory: https://support.citrix.com/article/CTX691608
• CVE Entry: https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-5777