2025年8月26日Ravie Lakshmanan脆弱性 / リモートコード実行
Citrixは、NetScaler ADCおよびNetScaler Gatewayに存在する3つのセキュリティ脆弱性に対処するための修正プログラムを公開しました。そのうちの1つは、実際に悪用されていることが確認されています。
問題となっている脆弱性は以下の通りです。
- CVE-2025-7775（CVSSスコア: 9.2）- メモリオーバーフローの脆弱性により、リモートコード実行および/またはサービス拒否（DoS）が発生する可能性
- CVE-2025-7776（CVSSスコア: 8.8）- メモリオーバーフローの脆弱性により、予期しないまたは誤った動作およびサービス拒否（DoS）が発生する可能性
- CVE-2025-8424（CVSSスコア: 8.7）- NetScaler管理インターフェースにおける不適切なアクセス制御
同社は「未対策のアプライアンスにおいてCVE-2025-7775の悪用が確認されている」と認めていますが、詳細については明らかにしていません。
ただし、これらの脆弱性が悪用されるには、いくつかの前提条件があります。
- CVE-2025-7775 – NetScalerがGateway（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）またはAAA仮想サーバーとして構成されていること；NetScaler ADCおよびNetScaler Gateway 13.1、14.1、13.1-FIPSおよびNDcPP：IPv6サービスまたはIPv6サーバーにバインドされた（HTTP、SSLまたはHTTP_QUIC）タイプのLB仮想サーバー；NetScaler ADCおよびNetScaler Gateway 13.1、14.1、13.1-FIPSおよびNDcPP：DBS IPv6サービスまたはIPv6 DBSサーバーにバインドされた（HTTP、SSLまたはHTTP_QUIC）タイプのLB仮想サーバー；またはHDXタイプのCR仮想サーバー
- CVE-2025-7776 – NetScalerがPCoIPプロファイルがバインドされたGateway（VPN仮想サーバー、ICAプロキシ、CVPN、RDPプロキシ）として構成されていること
- CVE-2025-8424 – 管理アクセス権を持つNSIP、クラスタ管理IP、ローカルGSLBサイトIP、またはSNIPへのアクセス
これらの問題は、以下のバージョンで解決されており、利用可能な回避策はありません。
- NetScaler ADCおよびNetScaler Gateway 14.1-47.48以降のリリース
- NetScaler ADCおよびNetScaler Gateway 13.1-59.22以降の13.1リリース
- NetScaler ADC 13.1-FIPSおよび13.1-NDcPP 13.1-37.241以降の13.1-FIPSおよび13.1-NDcPPリリース
- NetScaler ADC 12.1-FIPSおよび12.1-NDcPP 12.1-55.330以降の12.1-FIPSおよび12.1-NDcPPリリース
Citrixは、Horizon3.aiのJimi Sebree氏、Schramm & PartnerforのJonathan Hetzer氏、François Hämmerli氏に、脆弱性の発見と報告の功績を認めています。
CVE-2025-7775は、CVE-2025-5777（別名Citrix Bleed 2）やCVE-2025-6543に続き、短期間で実際の攻撃に悪用された最新のNetScaler ADCおよびGatewayの脆弱性です。
この公開はまた、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が、Citrix Session Recordingに影響を与える2つのセキュリティ脆弱性（CVE-2024-8068およびCVE-2024-8069）を、実際の悪用の証拠に基づき、既知の悪用脆弱性（KEV）カタログに追加した翌日に行われました。
CISAがCVE-2025-7775をKEVカタログに追加#
CISAは2025年8月26日、CVE-2025-7775をKEVカタログに追加し、連邦民間行政機関（FCEB）に対し、今後48時間以内（すなわち8月28日まで）にこの脆弱性への対応を求めました。
「Citrix NetScaler ADCおよびNetScaler Gatewayには、リモートコード実行および/またはサービス拒否を引き起こす可能性のあるメモリオーバーフローの脆弱性が存在します」と同庁は述べています。
翻訳元: https://thehackernews.com/2025/08/citrix-patches-three-netscaler-flaws.html