據(jù)網(wǎng)絡(luò)安全公司ReliaQuest稱，NetScaler ADC和網(wǎng)關(guān)的一個(gè)關(guān)鍵漏洞“Citrix Bleed 2”（CVE-2025-5777）現(xiàn)在很可能被利用在攻擊中，Citrix設(shè)備上的可疑會(huì)話有所增加。

Citrix Bleed 2，由網(wǎng)絡(luò)安全研究員Kevin Beaumont命名，因?yàn)樗c最初的Citrix Bleed （CVE-2023-4966）相似，是一個(gè)內(nèi)存讀取漏洞，允許未經(jīng)身份驗(yàn)證的攻擊者訪問通常不可訪問的內(nèi)存部分。

這可能允許攻擊者從面向公眾的網(wǎng)關(guān)和虛擬服務(wù)器竊取會(huì)話令牌、憑據(jù)和其他敏感數(shù)據(jù)，使他們能夠劫持用戶會(huì)話并繞過多因素身份驗(yàn)證（MFA）。

Citrix的顧問也確認(rèn)了這一風(fēng)險(xiǎn)，提醒用戶安裝安全更新以阻止訪問任何被劫持的會(huì)話后，結(jié)束所有ICA和PCoIP會(huì)話。

該漏洞被追蹤為CVE-2025-5777，Citrix于2025年6月17日解決了該漏洞，沒有任何活躍利用的報(bào)告。然而，Beaumont警告說上周存在被利用的可能性較高。

研究人員的擔(dān)憂似乎是有根據(jù)的，因?yàn)镽eliaQuest表示，CVE-2025-5777已經(jīng)被用于有針對(duì)性的攻擊。

雖然沒有公開利用CVE-2025-5777（被稱為“Citrix Bleed 2”）的報(bào)道，但ReliaQuest認(rèn)為，攻擊者正在積極利用這一漏洞，獲得對(duì)目標(biāo)環(huán)境的初始訪問權(quán)限。

這一結(jié)論是基于對(duì)最近實(shí)際攻擊的以下觀察得出的：

·被劫持的Citrix web會(huì)話在沒有用戶交互的情況下被授予身份驗(yàn)證，這表明攻擊者使用被盜的會(huì)話令牌繞過了MFA。

·攻擊者在合法和可疑的IP地址上重復(fù)使用相同的Citrix會(huì)話，這表明會(huì)話劫持和從未經(jīng)授權(quán)的來源重播。

·LDAP查詢是在訪問后發(fā)起的，這表明攻擊者執(zhí)行了Active Directory偵察來映射用戶、組和權(quán)限。

·adeexplorer64 .exe的多個(gè)實(shí)例跨系統(tǒng)運(yùn)行，表明協(xié)調(diào)的域偵察和對(duì)各種域控制器的連接嘗試。

·Citrix會(huì)話起源于與消費(fèi)者VPN提供商（如DataCamp）相關(guān)的數(shù)據(jù)中心ip，這表明攻擊者通過匿名基礎(chǔ)設(shè)施進(jìn)行混淆。

上述情況與未經(jīng)授權(quán)訪問Citrix后的開發(fā)活動(dòng)一致，強(qiáng)化了CVE-2025-5777正在被利用的評(píng)估。

為了防止這種活動(dòng)，可能受到影響的用戶應(yīng)該升級(jí)到14.1-43.56+、13.1-58.32+或13.1-FIPS/NDcPP 13.1-37.235+版本來修復(fù)漏洞。

在安裝最新固件后，管理員應(yīng)該終止所有活動(dòng)的ICA和PCoIP會(huì)話，因?yàn)樗鼈兛赡芤呀?jīng)被劫持了。

在終止活動(dòng)會(huì)話之前，管理員應(yīng)該首先使用show icconnection命令和NetScaler Gateway > PCoIP > Connections檢查它們是否存在可疑活動(dòng)。在檢查活動(dòng)會(huì)話后，管理員可以使用以下命令終止它們：終止所有連接、終止pcoipconnection -all。如果無法立即安裝安全更新，建議通過網(wǎng)絡(luò)acl或防火墻規(guī)則限制外部對(duì)NetScaler的訪問。

在被問到關(guān)于CVE-2025-5777是否被積極利用的問題時(shí)，Citrix表示沒有發(fā)現(xiàn)任何利用的跡象。然而，另一個(gè)Citrix漏洞，跟蹤為CVE-2025-6543，正在攻擊中被利用，導(dǎo)致NetScaler設(shè)備上的拒絕服務(wù)條件。Citrix表示，這個(gè)漏洞和CVE-2025-5777漏洞在同一個(gè)模塊中，但是不同的漏洞。

參考及來源：https://www.bleepingcomputer.com/news/security/citrix-bleed-2-flaw-now-believed-to-be-exploited-in-attacks/