Gli Exploit per Citrix Bleed2 sono online! Aggiornare immediatamente, la caccia è iniziata

Redazione RHC : 9 Luglio 2025 17:18

Il CERT-AgID recentemente aveva avvertito che molte istanze pubbliche non sono ancora state aggiornate e tra queste 70 sono relative a banche, assicurazioni e pubbliche amministrazioni italiane.

Ora la situazione si fa più seria in quanto gli exploit PoC per la vulnerabilità critica Citrix Bleed 2 (CVE-2025-5777) stanno comparendo diffusamente su internet e la caccia ha davvero inizio. I ricercatori avvertono che la vulnerabilità può essere facilmente sfruttata e che i token di sessione utente possono essere rubati.

Il bug di sicurezza Citrix NetScaler ADC e NetScaler Gateway è stata denominata Citrix Bleed 2 perché è simile a un problema del 2023 che consentiva ad aggressori non autenticati di dirottare i cookie della sessione di autenticazione sui dispositivi vulnerabili.

CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub. Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati. Ricerca per singola CVE Ricerca le ultime CVE emesse Articolo sul CVE enrichment Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Come ha spiegato Kevin Beaumont, noto esperto di sicurezza informatica che ha dato il nome al nuovo problema, si tratta di una vulnerabilità simile a quella di Citrix Bleed (CVE-2023-4966), sfruttata attivamente dagli hacker, tra cui gruppi ransomware e “governativi”, diversi anni fa .

Una vulnerabilità di lettura fuori limite interessa i dispositivi NetScaler configurati come gateway: server virtuale VPN, proxy ICA, VPN clientless (CVPN), proxy RDP o server virtuale AAA. La vulnerabilità consente agli aggressori di ottenere il contenuto della memoria semplicemente creando richieste POST malformate durante i tentativi di accesso.

Gli sviluppatori di Citrix hanno rilasciato patch e hanno vivamente raccomandato agli amministratori di terminare tutte le sessioni ICA e PCoIP attive dopo l’aggiornamento per impedire a potenziali aggressori di accedere a sessioni dirottate. Citrix ha fornito consigli simili per il Citrix Bleed originale.

Come spiegano ora gli esperti di watchTowr e Horizon3, che hanno pubblicato analisi tecniche della vulnerabilità, il problema può essere sfruttato inviando richieste di accesso malformate in cui il parametro login= viene modificato in modo da essere passato senza segno di uguale o valore. Di conseguenza, il dispositivo NetScaler visualizza il contenuto della memoria fino al primo byte zero nella sezione del corpo della risposta.

Secondo i ricercatori, il bug è causato dall’utilizzo della funzione snprintf insieme a una stringa di formato contenente %.*s, che causa una perdita di memoria. Ogni richiesta perde circa 127 byte. Tuttavia, gli aggressori possono effettuare richieste ripetute per estrarre dati aggiuntivi. I ricercatori di Horizon3 hanno dimostrato in un video che la vulnerabilità può essere sfruttata per rubare i token delle sessioni utente, sebbene i ricercatori di watchTowr non abbiano avuto successo nei loro tentativi.

Le dichiarazioni dell’azienda sono contestate anche dal già citato Kevin Beaumont. Il ricercatore scrive che la vulnerabilità è stata sfruttata attivamente da metà giugno e che gli aggressori la utilizzano per estrarre dati dalla memoria e intercettare le sessioni. “Il supporto di Citrix non rivela alcun indicatore di compromissione e afferma erroneamente (di nuovo, come nel caso del Citrix Bleed originale) che non ci sono exploit. Citrix deve intervenire, sta danneggiando i suoi clienti”, ha scritto Beaumont.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli