Jetzt patchen: Citrix warnt vor teils aktiv ausgenutzten Sicherheitslücken
Administratoren von Citrix-Netscaler-Systemen sollten dringend die neuesten Patches einspielen. Der Hersteller hat in den letzten Tagen Warnungen vor mehreren gefährlichen Sicherheitslücken herausgegeben. Eine davon wird sogar bereits aktiv von Angreifern ausgenutzt. Eine weitere Lücke erweist sich aber als nicht minder gefährlich und weckt Erinnerungen an Citrix Bleed von 2023.
Bei der aktiv ausgenutzten Schwachstelle handelt es sich um CVE-2025-6543(öffnet im neuen Fenster) . Mit einem CVSS-Wert von 9,2 ist sie als kritisch eingestuft. Laut Citrix(öffnet im neuen Fenster) basiert die Lücke auf einem Memory-Overflow, durch den Angreifer in den Kontrollfluss eingreifen und Ausfälle herbeiführen können. Damit das funktioniert, muss das jeweilige Netscaler-System als Gateway (beispielsweise VPN oder Proxy) oder virtueller Authentifizierungsserver (AAA-Server) konfiguriert sein.
Die gleiche Bedingung gilt auch für eine mögliche Ausnutzung von CVE-2025-5777(öffnet im neuen Fenster) . Diese Lücke ist mit einem CVSS-Wert von 9,3 ebenfalls kritisch und basiert nach Angaben des Herstellers(öffnet im neuen Fenster) auf einem Out-of-bounds-Read, der durch eine unzureichende Eingabevalidierung ermöglicht wird.
Mit CVE-2025-5349(öffnet im neuen Fenster) existiert zudem noch eine dritte hochgefährliche (CVSS: 8,7) Lücke, durch die Angreifer unrechtmäßig auf die Verwaltungsschnittstelle anfälliger Citrix-Netscaler-Instanzen zugreifen können.
Parallelen zu Citrix Bleed
CVE-2025-5777 wurde erst kürzlich von dem Sicherheitsforscher Kevin Beaumont untersucht(öffnet im neuen Fenster) . Dabei kam er zu dem Ergebnis, dass die Lücke Ähnlichkeiten zu Citrix Bleed aufweist – eine als CVE-2023-4966 registrierte Schwachstelle, durch die Hacker 2023 in großem Umfang Session-Token abgreifen und dadurch Firmennetzwerke infiltrieren konnten .
Beaumont nannte CVE-2025-5777 daher Citrix Bleed 2. Über eine Shodan-Suche fand er weltweit mehr als 56.000 Systeme, die über die Lücke potenziell angreifbar sind. Deutschland steht dabei mit 6.810 Instanzen auf dem zweiten Platz. Nur den USA kommt mit 13.745 Netscaler-Systemen ein größerer Anteil zu. Hinweise darauf, dass CVE-2025-5777 aktiv ausgenutzt wird, gibt es aber wohl noch nicht.
Patches sind verfügbar
Alle drei Sicherheitslücken betreffen mehrere Netscaler-Versionen. Laut Citrix sind Netscaler ADC und Netscaler Gateway 14.1 und 13.1 vor den Versionen 14.1-47.46 und 13.1-59.19 für mindestens eine der genannten Schwachstellen anfällig. Hinzu kommen Netscaler ADC 13.1-FIPS und NDcPP sowie 12.1-FIPS vor den Versionen 13.1-37.235 und 12.1-55.328.
Systeme, die auf einer der genannten Versionen oder neuer basieren, gelten als geschützt. Laut Citrix sind auch Netscaler ADC and Netscaler Gateway 12.1 und 13.0 angreifbar, jedoch erhalten diese Versionen keine Patches mehr, da sie bereits den EOL-Status erreicht haben. Administratoren sollten solche Instanzen daher auf eine der noch unterstützten Netscaler-Versionen upgraden.