Gli Exploit per Citrix Bleed2 sono online! Aggiornare immediatamente, la caccia è iniziata

Il CERT-AgID recentemente aveva avvertito che molte istanze pubbliche non sono ancora state aggiornate e tra queste 70 sono relative a banche, assicurazioni e pubbliche amministrazioni italiane.

Ora la situazione si fa più seria in quanto gli exploit PoC per la vulnerabilità critica Citrix Bleed 2 (CVE-2025-5777) stanno comparendo diffusamente su internet e la caccia ha davvero inizio. I ricercatori avvertono che la vulnerabilità può essere facilmente sfruttata e che i token di sessione utente possono essere rubati.

Il bug di sicurezza Citrix NetScaler ADC e NetScaler Gateway è stata denominata Citrix Bleed 2 perché è simile a un problema del 2023 che consentiva ad aggressori non autenticati di dirottare i cookie della sessione di autenticazione sui dispositivi vulnerabili.

Come ha spiegato Kevin Beaumont, noto esperto di sicurezza informatica che ha dato il nome al nuovo problema, si tratta di una vulnerabilità simile a quella di Citrix Bleed (CVE-2023-4966), sfruttata attivamente dagli hacker, tra cui gruppi ransomware e “governativi”, diversi anni fa .

Una vulnerabilità di lettura fuori limite interessa i dispositivi NetScaler configurati come gateway: server virtuale VPN, proxy ICA, VPN clientless (CVPN), proxy RDP o server virtuale AAA. La vulnerabilità consente agli aggressori di ottenere il contenuto della memoria semplicemente creando richieste POST malformate durante i tentativi di accesso.

Gli sviluppatori di Citrix hanno rilasciato patch e hanno vivamente raccomandato agli amministratori di terminare tutte le sessioni ICA e PCoIP attive dopo l’aggiornamento per impedire a potenziali aggressori di accedere a sessioni dirottate. Citrix ha fornito consigli simili per il Citrix Bleed originale.

Come spiegano ora gli esperti di watchTowr e Horizon3, che hanno pubblicato analisi tecniche della vulnerabilità, il problema può essere sfruttato inviando richieste di accesso malformate in cui il parametro login= viene modificato in modo da essere passato senza segno di uguale o valore. Di conseguenza, il dispositivo NetScaler visualizza il contenuto della memoria fino al primo byte zero nella sezione del corpo della risposta.

Secondo i ricercatori, il bug è causato dall’utilizzo della funzione snprintf insieme a una stringa di formato contenente %.*s, che causa una perdita di memoria. Ogni richiesta perde circa 127 byte. Tuttavia, gli aggressori possono effettuare richieste ripetute per estrarre dati aggiuntivi. I ricercatori di Horizon3 hanno dimostrato in un video che la vulnerabilità può essere sfruttata per rubare i token delle sessioni utente, sebbene i ricercatori di watchTowr non abbiano avuto successo nei loro tentativi.

Le dichiarazioni dell’azienda sono contestate anche dal già citato Kevin Beaumont. Il ricercatore scrive che la vulnerabilità è stata sfruttata attivamente da metà giugno e che gli aggressori la utilizzano per estrarre dati dalla memoria e intercettare le sessioni. “Il supporto di Citrix non rivela alcun indicatore di compromissione e afferma erroneamente (di nuovo, come nel caso del Citrix Bleed originale) che non ci sono exploit. Citrix deve intervenire, sta danneggiando i suoi clienti”, ha scritto Beaumont.

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Manuel Roccon

Ho iniziato la mia carriera occuparmi nella ricerca e nell’implementazioni di soluzioni in campo ICT e nello sviluppo di applicazioni. Al fine di aggiungere aspetti di sicurezza in questi campi, da alcuni anni ho aggiunto competenze inerenti al ramo offensive security (OSCP), occupandomi anche di analisi di sicurezza e pentest in molte organizzazioni.

Aree di competenza: Ethical Hacking, Bug Hunting, Penetration Testing, Red Teaming, Security Research, Cybersecurity Communication