Investigadores han publicado exploits de prueba de concepto (PoC) para una vulnerabilidad crítica en Citrix Netscaler, identificada como CVE-2025-5777 y apodada CitrixBleed2. La falla permite a los atacantes robar con éxito los tokens de sesión de usuarios.
Vulnerabilidad similar a CitrixBleed
Esta vulnerabilidad se denomina CitrixBleed2 debido a su similitud con el error original CitrixBleed (CVE-2023-4966) de 2023, que fue explotado por pandillas de ransomware y en ataques a redes gubernamentales. Citrix ya había publicado un parche para esta vulnerabilidad en junio pasado.
Detalles técnicos
La vulnerabilidad afecta dispositivos Citrix Netscaler ADC y Gateway, permitiendo a los atacantes recuperar contenido de la memoria al enviar solicitudes malformadas durante intentos de inicio de sesión. Los investigadores confirmaron que la vulnerabilidad puede explotarse modificando el parámetro "login=" en una solicitud de inicio de sesión incorrecta.
Esto hace que el dispositivo NetScaler muestre contenido de la memoria hasta el primer carácter nulo en la sección <InitialValue></InitialValue> de la respuesta. La falla es causada por el uso de la función SNPRINTF junto con una cadena de formato que contiene la cadena de formato %.*s.
Exploits disponibles
Analistas técnicos de WatchToWr y Horizon3 confirmaron que los atacantes pueden realizar solicitudes HTTP repetidas para extraer contenidos de memoria adicionales hasta encontrar datos confidenciales. Aunque los intentos de WatchToWr no tuvieron éxito, Horizon3 demostró que podría explotar el defecto para robar tokens de sesión.
Estado de la vulnerabilidad
Citrix afirma que actualmente no hay evidencia de que CVE-2025-5777 esté siendo explotada activamente. Sin embargo, un informe de junio de ReliaQuest indica que hay evidencia de que la vulnerabilidad puede haber sido explotada en ataques y se observa un aumento en los secuestros de sesión de usuarios.
Kevin Beaumont, investigador de seguridad, disputa la declaración de Citrix, afirmando que la vulnerabilidad ha sido explotada activamente desde mediados de junio. Se destacaron varios indicadores de compromiso, incluyendo solicitudes repetidas a *doAuthentication*, solicitudes a doAauthentication.do con "Content-longitud: 5" y líneas en los registros de usuario NetScaler con *LOGOFF* y user = "*#*".
Parches disponibles
Citrix ha lanzado parches para abordar CVE-2025-5777. Se insta a todas las organizaciones a aplicarlos de inmediato, ya que las exploits públicas están disponibles.