Protecting Citrix NetScaler from CitrixBleed 2: Detection and Mitigation Strategies for CVE-2025–5777
Criminal IP · Follow
3 min read · Jul 31, 2025
50
Listen
Share
Press enter or click to view image in full size
2025年7月，针对影响 Citrix NetScaler ADC 和 Gateway 设备的内存泄漏漏洞（CVE-2025–5777）的概念验证（PoC）代码被公开发布。此后，全球范围内针对这些设备的攻击尝试显著增加。该漏洞风险极高，允许未授权攻击者直接从内存中泄漏敏感信息，类似于去年被广泛利用的 CitrixBleed 漏洞（CVE-2023–4966）。
Citrix NetScaler 作为 SSL VPN 和应用交付控制器（ADC），广泛应用于企业和政府环境中。该漏洞可能泄露敏感数据，包括用户会话令牌、身份认证凭证和 API 密钥。
深入分析 CVE-2025–5777：Citrix NetScaler 的内存泄漏与认证问题
- 漏洞编号：CVE-2025–5777（CitrixBleed 2）
- 受影响产品：Citrix NetScaler ADC / Gateway
- 类型：未授权内存暴露（内存泄漏）
- PoC 状态：已公开（GitHub）
- 攻击方法：攻击者可以操纵认证请求格式，将内存内容嵌入响应消息中。
Press enter or click to view image in full size
GitHub 上发布的 PoC 展示了攻击者如何解码 Base64 编码的响应数据以提取敏感信息，可能泄漏用户认证令牌或会话标识符。由于易于利用且可能绕过认证，该漏洞风险极高。
当前利用趋势与检测方法
PoC 发布后，多个全球威胁情报社区和基于蜜罐的威胁监测网络检测到针对该漏洞的大量扫描流量。通过使用 Criminal IP 资产搜索，可以根据暴露的 SSL VPN 端口识别 NetScaler 实例。
使用 Criminal IP 识别受 CVE-2025–5777 影响的 Citrix 设备
为了利用 CVE-2025–5777 漏洞，网络攻击者首先需要识别暴露在互联网上的 NetScaler 设备。使用 Criminal IP 的资产搜索功能，可以快速识别符合攻击者目标特征的设备。
Criminal IP 搜索查询：
favicon: -4581a967
该查询使用 favicon 过滤器来搜索使用了特定 favicon 的 Web 服务器。通过应用 Citrix NetScaler 默认登录页面的十六进制 favicon 哈希值，可以发现全球互联网上暴露的 Citrix NetScaler 实例。
要了解如何使用 favicon 哈希值检测 IP 地址并分析安全漏洞，请参阅介绍 favicon 过滤器使用的博客文章。
使用该查询识别 Citrix NetScaler 实例的结果如下所示。
Press enter or click to view image in full size
在 Criminal IP 资产搜索中搜索 favicon: -4581a967 可检测到约 27,000 条结果。结果数量最多的是美国，其次是澳大利亚和德国。
Press enter or click to view image in full size
其中一个被检测到的 IP 地址显示了 6 个开放端口和 24 个漏洞。此外，其中 3 个 SSL 证书被识别为自签名证书。
Press enter or click to view image in full size
而且，这 24 个漏洞中有一个已确认在 GitHub 上有公开的 PoC，需要立即采取行动。
结论
CVE-2025–5777 是一个关键漏洞，使用 Citrix NetScaler 设备的组织必须加以应对。PoC 发布后，大规模扫描尝试已成为现实——因此，主动检查和积极响应至关重要。
通过使用 Criminal IP 资产搜索和 ASM，可以快速识别暴露的 NetScaler 资产，使组织能够通过应用最新安全补丁和使会话失效来预防潜在攻击。 CSD0tFqvECLokhw9aBeRqqy7pDVE9jtHSghPeFdiPyEL7wjzPj54BSwTk4ipkRY3NoCd7Mu85AvJvh92xhtSea0LXJdkUQBeUrl9DxuW0eMZmX8CgESe7QPXhYJWyWpMsIZf/G5fJuNBbuprtRMzB+A41KG+TFSp9WweBa00+QvwCUIJvZzhxLjpZXV/ehI8
