La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE.UU. (CISA) añadió la vulnerabilidad CVE-2025-5777 al catálogo KEV. Esta vulnerabilidad es una lectura fuera de límites causada por validación insuficiente de entradas.
Vulnerabilidad y contexto
CVE-2025-5777 permite a un atacante remoto leer memoria de la appliance, obtener cookies de sesión y burlar el MFA. Esta vulnerabilidad se relaciona con CVE-2023-4966 (CitrixBleed original) debido a que comparte un vector similar: exfiltración de tokens.
Afectados y parche
CVE-2025-5777 afecta versiones más recientes y puede combinarse con CVE-2025-6543, un buffer overflow también incluido en el KEV. Las versiones vulnerables de NetScaler ADC / Gateway son: 14.1 < 14.1-47.46; 13.1 < 13.1-59.19; 13.1-FIPS / NDcPP < 13.1-37.236-FIPS; versiones 13.0 y 12.1 (EoL). Citrix publicó los hotfixes el 27 de junio de 2025.
Respuesta de CISA
CISA emitió una orden de parcheo en 24 horas, un plazo más corto que el habitual de 21 días.
Detección y actividad maliciosa
ReliaQuest y watchTowr detectaron exploit kits que automatizan la extracción de sesiones y la carga de webshells. Akamai reportó un pico de escaneos masivos contra el puerto 443 de NetScaler en la primera semana de julio.
Riesgos asociados
Secuestro de sesión: Acceso persistente a portales corporativos con MFA desactivado de facto. Movimiento lateral: Hacia servidores internos publicados tras el Gateway. Filtrado de datos sensibles: Desde aplicaciones tras un Citrix ADC configurado como VPN. Riesgo de RCE: Si se encadena con CVE-2025-6543 u otras fallas de post-explotación.
Recomendaciones y mitigaciones
Actualizar ya a las versiones corregidas; migrar dispositivos en EoL. Revocar todas las sesiones activas tras el parche (tokens y cookies). Revisar los registros de ns.log y httpaccess.log buscando patrones de lectura anómala en /vpn/ y accesos a newbm.pl.
Si la actualización se retrasa, aislar el Gateway tras un WAF o restringir por IP, y deshabilitar accesos no esenciales. Seguir la guía de Citrix "Steps to take if NetScaler ADC is suspected to be compromised" para forense y hardening.