Trusted Design

解説:

CVE-2025-5777は「CitrixBleed 2」として知られる、Citrix NetScaler ADCおよびNetScaler Gatewayに影響を及ぼす重大な脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

CVE-2025-5777は、Citrix NetScaler Application Delivery Controller (ADC) およびNetScaler Gatewayにおけるメモリオーバーリード（out-of-bounds read）の脆弱性です。この脆弱性は、認証エンドポイント（例: /p/u/doAuthentication.do）へのHTTP POSTリクエストにおいて、アプライアンスがGatewayまたはAAA仮想サーバーとして構成されている場合に、不十分な入力検証に起因します。

認証パーサーが特別に細工されたHTTPリクエスト（特にloginパラメータが不適切な構造で存在するHTTP POSTリクエスト）を処理すると、初期化されていないスタックメモリの内容がHTTPレスポンス内に（<InitialValue>要素内などに）漏洩します。各HTTPリクエストは約127バイトのRAMコンテンツを漏洩させる可能性があり、これらのリクエストを繰り返すことで、攻撃者はセッション情報やその他の機密データを収集できます。

この脆弱性は、2023年に広く悪用された元のCitrixBleed（CVE-2023-4966）と類似しています。

1.1 影響 本脆弱性の悪用に成功すると、以下の影響が発生する可能性があります。

• サーバーのメモリから機密情報への不正アクセス。
• セッショントークンの漏洩による、認証済みセッションのハイジャックおよび多要素認証（MFA）のバイパス。
• 漏洩した機密データ（プレーンテキストの資格情報、以前のHTTPリクエストの一部など）を悪用したさらなる攻撃の可能性。
• 機密データへのアクセス、システムリソースの変更または削除、マルウェアのインストール、バックドアの作成など、影響を受けるシステムに対する完全な制御の可能性。

1.2 深刻度 CVE-2025-5777は「重大な脆弱性（Critical vulnerability）」と評価されています。2025年7月10日には、CISA（サイバーセキュリティ・インフラセキュリティ庁）がこの脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、広範な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン Citrix NetScaler ADCおよびNetScaler Gatewayの以下のバージョンが影響を受けます。

• バージョン 14.1-43.56 以前
• バージョン 13.1-58.32 以前
• バージョン 13.1-FIPSおよびNDcPP 13.1-37.235-FIPSおよびNDcPP 以前
• バージョン 12.1-FIPS 12.1-55.328-FIPS 以前

OSの具体的なバージョン（例: Linuxカーネルのバージョン）は、NetScalerアプライアンスのソフトウェアに起因するため、特に言及されていません。

2.2 影響を受ける設定 アプライアンスが以下のいずれかの設定で構成されている場合に影響を受けます。

• Gatewayとして構成されている場合（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）
• AAA仮想サーバーとして構成されている場合

3. 影響を受けた時の兆候

攻撃者が本脆弱性を悪用してセッションをハイジャックし、MFAをバイパスする兆候が、標的型環境で観察されています。具体的には、以下の兆候が考えられますが、詳細なログや監視による分析が必要です。

• 不明なIPアドレスからの予期しない認証成功。
• 多要素認証を突破した不審なセッション活動。
• 通常の利用パターンから逸脱した、異常なメモリ使用量やネットワークトラフィック。

4. 推奨対策

4.1 本対策 影響を受けるCitrix NetScaler ADCおよびNetScaler Gatewayを、以下のパッチが適用されたバージョンにアップグレードしてください。

• バージョン 14.1-43.56 以降
• バージョン 13.1-58.32 以降
• バージョン 13.1-37.235-FIPSおよびNDcPP 以降
• バージョン 12.1-55.328-FIPS 以降

すべてのNetScalerアプライアンス（HAペアまたはクラスター）をアップグレードした後、以下のコマンドを実行して、すべてのアクティブなICAおよびPCoIPセッションを終了することを推奨します。

kill icaconnection -all kill pcoipConnection -all

4.2 暫定回避策（緩和策） 本脆弱性に対する具体的な暫定回避策は、検索結果では明示されていません。ただし、根本的な解決策はパッチ適用です。

5. その他解説すべき観点

• 概念実証（PoC）エクスプロイトコード: 公開されており、脅威アクターの注目をさらに集める可能性が非常に高いとされています。
• 悪用タイムライン: GreyNoiseの報告によると、概念実証エクスプロイトコードが公開される約2週間前、つまり2025年6月中旬には悪用が始まっていたとされています。

参照したサイト

• CVE-2025-5777: Citrix NetScaler ADC Use-After-Free Flaw - SentinelOne
• CVE-2025-5777: Citrix NetScaler Bleed 2 - Horizon3.ai
• CitrixBleed 2: When Memory Leaks Become Session Hijacks - Splunk
• Updates on Actively Exploited Information Disclosure Vulnerability “Citrix Bleed 2” in Citrix NetScaler ADC and Gateway (CVE-2025-5777) - Arctic Wolf
• CVE-2025-5777 Citrix NetScaler Memory Leak Exploit - GitHub