70 Domini italiani di PA, Banche e Assicurazioni affetti da CitrixBleed2! Patchare immediatamente

Redazione RHC : 7 Luglio 2025 16:59

In data odierna il CERT-AGID ha avuto evidenza di scansioni pubbliche mirate a individuare host vulnerabili. Attualmente, su una lista di 18K host, risultano oltre 70 domini italiani potenzialmente vulnerabili tra cui alcuni di Pubbliche Amministrazioni, istituti bancari, agenzie assicurative e organizzazioni private. Le Pubbliche Amministrazioni coinvolte sono state puntualmente informate dal CERT-AGID affinché possano intraprendere con urgenza le azioni di mitigazione necessarie.

L’emergenza relativa alla vulnerabilità CVE-2025-5777, battezzata con nome “CitrixBleed 2” per la sua somiglianza con la nota CVE-2023-4966, già sfruttata in passato per attacchi di ampia portata, non rappresenta una novità improvvisa.

La vulnerabilità, riscontrata in Citrix NetScaler ADC e NetScaler Gateway, è stata resa nota e corretta da Citrix a inizio giugno 2025, ma ha recentemente attirato maggiore attenzione a seguito del rilascio di un Proof-of-Concept (PoC) pubblico e delle prime segnalazioni di sfruttamento attivo in-the-wild.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Il ritardo nell’applicazione delle patch da parte di molte organizzazioni, incluse numerose Pubbliche Amministrazioni, ha aumentato in modo significativo il rischio di attacchi, soprattutto ora che è disponibile un PoC funzionante e sono stati confermati tentativi di sfruttamento.

Modalità di sfruttamento

Il difetto nasce da una validazione insufficiente degli input, che permette a un attaccante remoto non autenticato di inviare richieste appositamente costruite che consentono di ottenere risposte contenenti parti di memoria non inizializzate o sensibili. Nello specifico, l’attacco può essere portato a termine con i seguenti step.

• L’attaccante invia una richiesta HTTP POST manipolata all’endpoint di login del Gateway.
• La richiesta include solo il parametro login senza valore né simbolo “=” (es. login al posto di login=username).
• Un difetto di inizializzazione nel backend fa sì che il server risponda con una struttura XML contenente il tag , che può esporre dati di memoria non inizializzata.
• L’utilizzo del formato %.*s per stampare la variabile in questione fa sì che il contenuto venga restituito fino al primo byte nullo. Tuttavia, richieste ripetute possono rivelare segmenti di memoria aggiuntivi.

Esempio di richiesta che sfrutta la vulnerabilità

POST /login HTTP/1.1
Host: [citrix-gateway-target]
Content-Type: application/x-www-form-urlencoded
Content-Length: 5
login

Impatti potenziali

Se sfruttata, la vulnerabilità consente ad attori non autenticati di:

• accedere a token di autenticazione direttamente dalla memoria del dispositivo;
• bypassare l’autenticazione a più fattori (MFA);
• dirottare sessioni utente attive;
• ottenere accesso non autorizzato a sistemi critici.

Le conseguenze possono includere violazioni di dati, attacchi ransomware o interruzioni operative.

Azioni di mitigazione

• Applicare le patch per tutte le versioni supportate e/o aggiornare immediatamente le versioni EOL.
• Dopo l’aggiornamento, terminare tutte le sessioni attive per prevenire accessi non autorizzati tramite sessioni compromesse.
• Monitorare i log per attività sospette, in particolare accessi anomali o provenienti da IP non riconosciuti.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli