Gli Exploit per Citrix Bleed2 sono online! Aggiornare immediatamente, la caccia è iniziata

Redazione RHC : 9 Luglio 2025 17:18

Il CERT-AgID recentemente aveva avvertito che molte istanze pubbliche non sono ancora state aggiornate e tra queste 70 sono relative a banche, assicurazioni e pubbliche amministrazioni italiane.

Ora la situazione si fa più seria in quanto gli exploit PoC per la vulnerabilità critica Citrix Bleed 2 (CVE-2025-5777) stanno comparendo diffusamente su internet e la caccia ha davvero inizio. I ricercatori avvertono che la vulnerabilità può essere facilmente sfruttata e che i token di sessione utente possono essere rubati.

Il bug di sicurezza Citrix NetScaler ADC e NetScaler Gateway è stata denominata Citrix Bleed 2 perché è simile a un problema del 2023 che consentiva ad aggressori non autenticati di dirottare i cookie della sessione di autenticazione sui dispositivi vulnerabili.

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Come ha spiegato Kevin Beaumont, noto esperto di sicurezza informatica che ha dato il nome al nuovo problema, si tratta di una vulnerabilità simile a quella di Citrix Bleed (CVE-2023-4966), sfruttata attivamente dagli hacker, tra cui gruppi ransomware e “governativi”, diversi anni fa .

Una vulnerabilità di lettura fuori limite interessa i dispositivi NetScaler configurati come gateway: server virtuale VPN, proxy ICA, VPN clientless (CVPN), proxy RDP o server virtuale AAA. La vulnerabilità consente agli aggressori di ottenere il contenuto della memoria semplicemente creando richieste POST malformate durante i tentativi di accesso.

Gli sviluppatori di Citrix hanno rilasciato patch e hanno vivamente raccomandato agli amministratori di terminare tutte le sessioni ICA e PCoIP attive dopo l’aggiornamento per impedire a potenziali aggressori di accedere a sessioni dirottate. Citrix ha fornito consigli simili per il Citrix Bleed originale.

Come spiegano ora gli esperti di watchTowr e Horizon3, che hanno pubblicato analisi tecniche della vulnerabilità, il problema può essere sfruttato inviando richieste di accesso malformate in cui il parametro login= viene modificato in modo da essere passato senza segno di uguale o valore. Di conseguenza, il dispositivo NetScaler visualizza il contenuto della memoria fino al primo byte zero nella sezione del corpo della risposta.

Secondo i ricercatori, il bug è causato dall’utilizzo della funzione snprintf insieme a una stringa di formato contenente %.*s, che causa una perdita di memoria. Ogni richiesta perde circa 127 byte. Tuttavia, gli aggressori possono effettuare richieste ripetute per estrarre dati aggiuntivi. I ricercatori di Horizon3 hanno dimostrato in un video che la vulnerabilità può essere sfruttata per rubare i token delle sessioni utente, sebbene i ricercatori di watchTowr non abbiano avuto successo nei loro tentativi.

Le dichiarazioni dell’azienda sono contestate anche dal già citato Kevin Beaumont. Il ricercatore scrive che la vulnerabilità è stata sfruttata attivamente da metà giugno e che gli aggressori la utilizzano per estrarre dati dalla memoria e intercettare le sessioni. “Il supporto di Citrix non rivela alcun indicatore di compromissione e afferma erroneamente (di nuovo, come nel caso del Citrix Bleed originale) che non ci sono exploit. Citrix deve intervenire, sta danneggiando i suoi clienti”, ha scritto Beaumont.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli