Citrix NetScaler ADC／Gateway の脆弱性 CVE-2025-5777 が FIX：Citrix Bleed “2” と呼ばれる理由は？

CitrixBleed 2: The nightmare that echoes the ‘CitrixBleed’ flaw in Citrix NetScaler devices

2025/06/26 SecurityAffairs — Citrix NetScaler ADC／Gateway に新たに発見された、脆弱性 CVE-2025-5777 (CVSS v4.0：9.3) を悪用する未認証の攻撃者は、セッション Cookie 窃取の機会を手にする。この脆弱性は、過去の Citrix Bleed：CVE-2023-4966 と類似しているため、CitrixBleed 2 と呼ばれている。この脆弱性は、不十分な入力検証により発生するメモリ・オーバーリードの欠陥であり、その影響が及ぶ NetScaler の範囲は、Gateway (VPN／ICA Proxy／CVPN／RDP Proxy) または AAA 仮想サーバとしてコンフィグされたものとなる。

この脆弱性は、以下の NetScaler ADC および NetScaler Gateway に影響を及ぼす：

  • NetScaler ADC 12.1-FIPS：12.1-55.328-FIPS 未満
  • NetScaler ADC／NetScaler Gateway 14.1：14.1-43.56 未満
  • NetScaler ADC／NetScaler Gateway 13.1：13.1-58.32 未満
  • NetScaler ADC 13.1-FIPS／NDcPP：13.1-37.235-FIPS 未満／13.1-NDcPP 未満

セキュリティ研究者の Kevin Beaumont は、今回の脆弱性 CVE-2025-5777 と、以前の脆弱性 CVE-2023-4966 (別名 Citrix Bleed) の類似点を指摘している。

彼は、「CitrixBleed を覚えているだろうか？ それは、単純な HTTP リクエストでメモリをダンプし、セッション・トークンを漏洩する脆弱性 CVE-2023–4966である。まるでラッパーの Kanye West が Twitter に復帰したように、今度は CVE-2025–5777として戻ってきた」と述べている。

この脆弱性を悪用する攻撃者は Gateway／AAA 仮想サーバとしてコンフィグされた NetScaler デバイスの、メモリを読み取ることが可能になると、Kevin Beaumont は説明している。それは、大規模な組織で一般的に用いられる、リモート・アクセス・コンフィグである。

Kevin Beaumont は、「それらのメモリには、機密情報が取り込まれている可能性がある。たとえば、セッション・トークンを再生できれば、MFA を回避して Citrix セッションを盗み出せる。それが、CitrixBleed のときの問題だった」と付け加えている。

彼による Shodan スキャンでは、56,500台を超える NetScaler ADC／Gateway エンドポイントが、無防備状態であることが確認された。ただし、脆弱性 CVE-2025-5777 を持つエンドポイントの数は不明である。

Citirix は、NetScaler の管理インターフェースに影響を与える、別の脆弱性 CVE-2025-5349 にも対処した。この問題は不適切なアクセス制御に起因し、NSIP／Cluster IP／Local GSLB IP にアクセスする攻撃者に、悪用される可能性があるものだ。ユーザーにとって必要なことは、修正済みの NetScaler ADC／Gateway バージョンへと更新し、これらのリスクを軽減することだ。

この２つの脆弱性の報告について、Citrix は Positive Technologies と ITA MOD CERT の功績を認めているが、CVE-2025-5777 の具体的な発見者は不明とのことだ。

すべての NetScaler アプライアンスをアップグレードした後に、すべてのアクティブな ICA／PCoIP セッションを終了することで、このリスクを完全に軽減するよう、Citrix は推奨している。

Citrix NetScaler ADC／Gateway で新たに発見された脆弱性 CVE-2025-5777 は、以前に話題となった “Citrix Bleed” に似た内容であり、深刻なリスクの再来が懸念されます。リモート・アクセスに使われる製品であるため、企業の中核システムが狙われかねないと、この記事は指摘しています。ご利用のチームは、ご注意ください。よろしければ、Citrix Bleed：CVE-2023-4966 で検索も、ご参照ください。