Citrix heeft fixes vrijgegeven om drie beveiligingsfouten in NetScaler ADC en NetScaler Gateway aan te pakken, waaronder een waarvan het zei dat het actief is uitgebuit in het wild.
De kwetsbaarheden in kwestie worden hieronder vermeld –
- CVE-2025-7775 (CVSS-score: 9.2)-Kwetsbaarheid van geheugenoverstroming die leidt tot externe code-uitvoering en/of Denial-of-Service
- CVE-2025-7776 (CVSS-score: 8.8)-Kwetsbaarheid van geheugenoverstroming die leidt tot onvoorspelbaar of onjuist gedrag en ontkenningsservice
- CVE-2025-8424 (CVSS -score: 8.7) – Onjuiste toegangscontrole op de NetScaler Management Interface
Het bedrijf erkende dat “exploits van CVE-2025-7775 over onmiskenbare apparaten zijn waargenomen”, maar stopte met het delen van aanvullende details.
Voor de fouten die kunnen worden uitgebuit, zijn er echter een aantal vereisten –
- CVE-2025-7775 – NetScaler moet worden geconfigureerd als Gateway (VPN Virtual Server, ICA Proxy, CVPN, RDP Proxy) of AAA Virtual Server; NetScaler ADC en NetScaler Gateway 13.1, 14.1, 13.1-FIPS en NDCPP: LB virtuele servers van type (HTTP, SSL of HTTP_QUIC) gebonden met IPv6-services of servicegroups gebonden met IPv6-servers; NetScaler ADC en NetScaler Gateway 13.1, 14.1, 13.1-FIPS en NDCPP: LB virtuele servers van type (HTTP, SSL of HTTP_QUIC) gebonden met DBS IPv6-services of servicegroups gebonden met IPV6 DBS-servers; of CR Virtual Server met type HDX
- CVE-2025-7776 – NetScaler moet worden geconfigureerd als Gateway (VPN Virtual Server, ICA Proxy, CVPN, RDP -proxy) met PCOIP -profiel dat erop is begrensd
- CVE-2025-8424 – Toegang tot NSIP, Cluster Management IP of lokale GSLB -site IP of Snip met managementtoegang
De problemen zijn opgelost in de volgende versies, zonder beschikbare oplossingen –
- NetScaler ADC en NetScaler Gateway 14.1-47.48 en later releases
- NetScaler ADC en NetScaler Gateway 13.1-59.22 en latere releases van 13.1
- NetScaler ADC 13.1-FIPS en 13.1-NDCPP 13.1-37.241 en latere releases van 13.1-FIPS en 13.1-ndcppp
- NetScaler ADC 12.1-FIPS en 12.1-NDCPP 12.1-55.330 en latere releases van 12.1-FIPS en 12.1-NDCPPPPPP
Citrix heeft Jimi Sebree van Horizon3.ai, Jonathan Hetzer van Schramm & Partnerfor en François Hämmerli gecrediteerd voor het ontdekken en rapporteren van de kwetsbaarheden.
CVE-2025-7775 is de nieuwste NetScaler ADC- en Gateway-kwetsbaarheid die in een korte tijdsaanvallen wordt bewapend in real-world-aanvallen, na CVE-2015-5777 (AKA Citrix Bleed 2) en CVE-2025-6543.
De openbaarmaking komt ook een dag nadat de Amerikaanse cybersecurity en infrastructuurbeveiligingsbureau (CISA) twee beveiligingsfouten hebben toegevoegd die van invloed zijn op Citrix Session Recording (CVE-2024-8068 en CVE-2024-8069) aan de bekende uitgebreide vulbaren (KEV) cataloge, op basis van actieve uitbreiding.
