CVE-2025-5777 — CitrixBleed 2 (Citrix NetScaler 内存泄露)

CVSS 9.3 — 严重 — 已在野外被积极利用

CitrixBleed 2 是 Citrix NetScaler ADC 和 NetScaler Gateway 中的一个内存泄露漏洞。身份验证端点中的输入验证不足导致内存过度读取 (CWE-125)，允许未经身份验证的攻击者泄露敏感内存内容 — 包括会话Cookie、加密材料和其他机密。

概述

技术细节

该漏洞位于身份验证端点：

POST /p/u/doAuthentication.do

通过发送带有空 login 参数的请求，服务器的输入验证被绕过，导致它将未初始化的内存复制到响应中。泄露的数据出现在 HTTP 响应的 <InitialValue> XML 元素中。

攻击者可以通过从泄露的内存中提取 NSC_AAAC 会话Cookie，将内存泄露与会话劫持攻击相结合。

泄露了什么

• 会话Cookie (NSC_AAAC, NSC_TEMP, 等.)
• 内部IP地址
• 堆栈/堆片段
• 加密密钥材料（在某些泄露中观察到）
• 其他用户的会话令牌

受影响版本

只有配置为 Gateway (VPN / ICA / CVPN / RDP 代理) 或 AAA 虚拟服务器 的设备受到影响。设备模式 (L2/L3) 不易受攻击。

复现步骤

1. 识别运行受影响版本的 Citrix NetScaler ADC/Gateway。
2. 确认已配置 Gateway 或 AAA 虚拟服务器模式。
3. 向 /p/u/doAuthentication.do 发送一个带有空 login 参数的 POST 请求。
4. 捕获 HTTP 响应并提取 <InitialValue> 元素的值。
5. 检查泄露的数据中是否有会话Cookie和其他机密。
6. 如果找到 NSC_AAAC Cookie，使用它来冒充受害者会话。

PoC

POST /p/u/doAuthentication.do HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded

login=&passwd=foo

响应将包含带泄露内存内容的 <InitialValue> 标签。在已修补的系统上，<InitialValue> 应该只是空的。

缓解措施

1. 升级到上述列出的修补固件版本。
2. 修补后使所有活跃会话失效，以确保任何泄露的令牌不再有效。
3. 如果无法立即修补，可通过 ACL 或 WAF 规则限制对管理界面和身份验证端点的访问。
4. 监控利用迹象 — 意外请求到 /p/u/doAuthentication.do 并带有空参数。

参考资料

• Citrix 安全公告: https://support.citrix.com/article/CTX691608
• CVE 条目: https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• NVD: https://nvd.nist.gov/