Kritické zraniteľnosti v Citrix NetScaler ADC a NetScaler Gateway

Spoločnosť Citrix vydala bezpečnostné aktualizácie na svoje produkty NetScaler ADC a NetScaler Gateway, ktoré opravujú 2 zraniteľnosti, z ktorých 1 je označená ako kritická. CVE-2025-5777 možno zneužiť na získanie neoprávneného prístupu k citlivým údajom a získanie úplnej kontroly nad systémom.

Zraniteľné systémy:

  • NetScaler ADC a NetScaler Gateway 14.1 vo verziách starších ako 14.1-43.56
  • NetScaler ADC a NetScaler Gateway 13.1 vo verziách starších ako 13.1-58.32
  • NetScaler ADC 13.1-FIPS a NDcPP vo verziách starších ako 13.1-37.235-FIPS a NDcPP
  • NetScaler ADC 12.1-FIPS vo verziách starších ako 12.1-55.328-FIPS

Pozn.: Produkty NetScaler ADC a NetScaler Gateway vo verziách 12.1-X a 13.0-X už nie sú podporované a výrobca odporúča bezodkladnú aktualizáciu na verzie s platnou podporou.

Opis zraniteľnosti:

CVE-2025-5777 (CVSS 4.0 skóre 9,3)

Kritická zraniteľnosť s identifikátorom CVE-2025-5777 spočíva v nedostatočnom overovaní vstupov, ktoré umožňuje čítanie pamäte mimo povolených hodnôt. Vzdialený neautentifikovaný útočník by ju mohol zneužiť na získanie neoprávneného prístupu k citlivým údajom (prihlasovacie údaje a konfigurácia).

Pozn.: Zraniteľnosť možno zneužiť len v prípade, že je NetScaler prevádzkovaný ako Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) alebo virtuálny AAA (Authentication, Authorization, and Accounting) server.

CVE-2025-5349 (CVSS 4.0 skóre 8,7)

Vysoko závažná zraniteľnosť CVE-2025-5349 spočíva v nesprávnom riadení prístupov v rámci NetScaler Management Interface a útočník nachádzajúci sa v rovnakom sieťovom segmente by ju mohol zneužiť na získanie neoprávneného prístupu do systému.

Pozn.: Úspešné zneužitie zraniteľnosti vyžaduje prístup k NSIP, Cluster Management IP alebo lokálnej GSLB Site IP.

Možné škody:

  • Neoprávnený prístup k citlivým údajom
  • Neoprávnený prístup do systému
  • Získanie úplnej kontroly nad systémom

Odporúčania:

Administrátorom odporúčame vykonať bezodkladnú aktualizáciu zasiahnutých systémov na verzie špecifikované výrobcom, ktoré môžete nájsť v časti Zraniteľné systémy alebo na stránke výrobcu. Výrobca po aktualizácii všetkých NetScaler prevádzkovaných v HA pári alebo klastri odporúča ukončiť všetky aktívne ICA a PCoIP relácie prostredníctvom nasledujúcich príkazov:

  • kill icaconnection -all
  • kill pcoipConnection -all

Zdroje: