Une vulnérabilité fraîchement découverte dans le contrôleur de livraison d’application (ADC) et les appareils de passerelle NetScaler de NetScaler, qui a été comparé à la faille de saignement Citrix de 2023, semble maintenant être attaqué par des acteurs de menace non divulgués, selon les analystes de la sécurité.
Affecté un score CVSS critique de 9,3, CVE-2025-5777 est, techniquement, une faille de lecture hors limites résultant d’une validation d’entrée insuffisante. Surnommé Citrix Bleed 2 par le chercheur indépendant Kevin Beaumont, CVE-2025-5777 serait similaire à Citrix Said, CVE-2023-4966, en ce sens que son effet ultime est de permettre à un attaquant de détourner des sessions authentifiées et de contourner l’authentification multi-factorielle (MFA) en volant des to-to-to-to-to-to-to-to-to-to-dikens de NETSCALER.
La vulnérabilité d’origine Citrix Said s’est avérée un outil très efficace pour les cybercriminels et a été exploitée par certains des gangs de ransomware les plus importants à l’époque – y compris Lockbit – donc le message aux chefs de sécurité et aux défenseurs de la découverte de ce dernier défaut est de perdre du temps et du patch immédiatement.
Cependant, ces directives pourraient déjà arriver trop tard pour certaines organisations, car selon le renseignement partagé par l’équipe de recherche sur les menaces de Reliaquest, les acteurs de la menace commencent déjà à s’accumuler.
“Bien qu’aucun rapport public de l’exploitation de cette vulnérabilité ne soit apparu, Reliaquest a observé des indications d’exploitation pour obtenir un accès initial”, a déclaré l’équipe de Reliaquest. «Reliaquest évalue avec une confiance moyenne que les attaquants exploitent activement cette vulnérabilité pour obtenir un accès initial à des environnements ciblés.
«Citrix recommande de corriger les systèmes affectés aux dernières versions et de mettre fin aux sessions actives pour atténuer le détournement de session et d’autres risques d’exploitation.»
Plus particulièrement, a déclaré Reliaquest, ses analystes ont recueilli des preuves de plusieurs sessions Web Citrix détournées à partir de dispositifs NetScaler dans lesquels l’authentification semble avoir été accordée sans connaissance des utilisateurs – une indication très claire que le pontage possible de l’AMF s’est produit.
Il a également vu des preuves de réutilisation de session couvrant plusieurs IP, y compris des combinaisons d’IPS attendus et suspects; Les requêtes de protocole d’accès au répertoire léger associées à la reconnaissance potentielle des configurations Active Directory; et plusieurs instances dans lesquelles l’outil Adexplorer64.Exe a été vu dans les environnements utilisateur en interrogeant les groupes et les autorisations au niveau du domaine et se connectant à plusieurs contrôleurs de domaine.
Enfin, l’équipe de Reliaquest a déclaré qu’elle observe également un nombre remarquable de sessions Citrix provenant d’adresses IP d’ossage de données, suggérant l’utilisation possible des services VPN de consommation.
Tous ces points – seuls ou en combinaison – pourraient indiquer qu’un acteur de menace énumère un environnement de victime potentiel, et les défenseurs devraient leur être à l’affût.
Les utilisateurs de NetScaler ADC et Gateway devraient être sûrs de mettre à jour vers les dernières versions par avis de Citrix, et en l’être, il est également fortement recommandé qu’ils exécutent une série de commandes pour mettre fin aux séances ICA et PCOIP actives.
Écrivant sur LinkedIn, Charles Carmakal, directeur de la technologie chez Google Cloud, a déclaré que ce dernier point était particulièrement important pour les défenseurs.
Il a rappelé à quel point au plus fort du premier incident de saignement Citrix, de nombreuses victimes ont constaté que malgré le correctif, les secrets de session avaient déjà été volés, et les attaquants ont donc pu conserver l’accès malgré les appareils, à toutes fins utiles, fixes. Cela a conduit à un plus grand nombre de compromis que ce qui aurait pu autrement se produire.
À lire aussi
