CitrixBleed2-lek sinds juni gebruikt om NetScaler-sessies te kapen

[Captain Kirk]

Een kwetsbaarheid in NetScaler ADC en NetScaler Gateway, ook bekend als CitrixBleed2 en CVE-2025–5777, is sinds halverwege juni gebruikt om NetScaler-sessies te kapen en multifactorauthenticatie (MFA) te omzeilen, zo stelt de Britse beveiligingsonderzoeker Kevin Beaumont. Eind juni meldde securitybedrijf ReliaQuest al mogelijk misbruik van het lek. Op 17 juni verschenen er beveiligingsupdates voor het probleem. Een aantal dagen later, op 26 juni, stelde NetScaler dat het niet bekend was met actief misbruik van de kwetsbaarheid.

Via het beveiligingslek kan een ongeauthenticeerde aanvaller op afstand gevoelige informatie direct uit het geheugen van de NetScaler-server lezen. Zo is het mogelijk om session tokens te stelen waarmee aanvallers toegang tot het systeem kunnen krijgen. De impact van de kwetsbaarheid is op een schaal van 1 tot en met 10 beoordeeld met een 9.3. Er zijn inmiddels meer details over het probleem openbaar gemaakt, waaronder proof-of-concept exploitcode.

Op 26 juni vond misbruik van CVE-2025–5777 al plaats, aldus Beaumont. Die kwam met de naam CitrixBleed2, vanwege de overeenkomsten met een kwetsbaarheid uit 2023 die de naam CitrixBleed kreeg. De onderzoeker zegt met verschillende organisaties te hebben gewerkt, waardoor hij kan vaststellen dat misbruik sinds halverwege juni al plaatsvindt. "Misbruik vond snel na het uitkomen van de patch plaats", aldus Beaumont. Die deed ook onderzoek naar kwetsbare Citrix-servers en stelt dat 24 procent van de organisaties de beschikbaar gestelde updates niet heeft geïnstalleerd. Na installatie van de update is het ook nodig om actieve sessies te stoppen.

NetScaler ADC (eerder bekend als Citrix ADC) is een server die organisaties tussen hun servers en het internet plaatsen. De primaire functie is het verdelen van inkomend verkeer over de beschikbare servers, zodat websites en applicaties snel en goed toegankelijk blijven. Via de NetScaler Gateway (eerder bekend als Citrix Gateway) kunnen medewerkers van bedrijven op afstand toegang tot bedrijfsapplicaties, bedrijfsomgevingen en intranetten krijgen. Het wordt dan ook veel voor thuiswerken gebruikt. De impact van een gecompromitteerd NetScaler-systeem kan dan ook groot zijn.

 

bron: https://www.security.nl