保护 Citrix NetScaler 免受 CitrixBleed 2 攻击：CVE-2025-5777 的检测与缓解策略
2025 年 7 月，影响 Citrix NetScaler ADC 和 Gateway 设备的内存泄露漏洞（CVE-2025-5777）的概念验证（PoC）代码被公开发布。此后，全球针对这些设备的攻击尝试显著增加。该漏洞允许未授权攻击者直接从内存中泄露敏感信息，风险极高，类似于去年被广泛利用的 CitrixBleed 漏洞（CVE-2023-4966）。
Citrix NetScaler 在企业及政府环境中广泛用作 SSL VPN 和应用交付控制器（ADC）。此漏洞可能泄露包括用户会话令牌、身份验证凭据和 API 密钥在内的敏感数据。
关于 CVE-2025-5777：Citrix NetScaler 的内存泄露与认证问题
- 漏洞编号：CVE-2025-5777（又称 CitrixBleed 2）
- 受影响产品：Citrix NetScaler ADC / Gateway
- 类型：未授权内存暴露（内存泄露）
- PoC 状态：已公开发布（GitHub）
- 攻击方法：攻击者可操纵认证请求格式，将内存内容嵌入响应消息中。
在 GitHub 上发布的 PoC 展示了攻击者如何解码 Base64 编码的响应数据，以提取敏感信息，可能泄露用户认证令牌或会话标识符。该漏洞易于利用且可能绕过认证，因此风险等级极高。
当前利用趋势与检测方法
PoC 发布后，多个全球威胁情报社区和基于蜜罐的威胁监测网络检测到针对该漏洞的大量扫描流量。通过使用 Criminal IP 资产搜索，可根据暴露的 SSL VPN 端口识别出 NetScaler 实例。
以下查询语句可用于在 Criminal IP 中识别暴露的 NetScaler 实例：
使用 Criminal IP 识别受 CVE-2025-5777 影响的 Citrix 设备
为了利用 CVE-2025-5777 漏洞，网络攻击者首先需要识别暴露在互联网上的 NetScaler 设备。利用 Criminal IP 的资产搜索功能，可以快速匹配攻击者所关注的目标设备。
Criminal IP 搜索查询：
favicon: -4581a967
该查询使用 favicon 过滤器来搜索使用特定 favicon 的 Web 服务器。通过应用 Citrix NetScaler 默认登录页面的十六进制 favicon 哈希值，可以发现全球范围内暴露在互联网上的 Citrix NetScaler 实例。
要了解如何使用 favicon 哈希检测 IP 地址并分析安全漏洞，请参考介绍 favicon 过滤器用法的博客文章。
使用该查询识别 Citrix NetScaler 实例的结果如下所示。
在 Criminal IP 资产搜索中搜索 favicon: -4581a967 可检测到约 27,000 条结果。其中数量最多的来自美国，其次是澳大利亚和德国。
其中一个检测到的 IP 地址显示了 6 个开放端口和 24 个漏洞。此外，其中有 3 个 SSL 证书被识别为自签名证书。
此外，在这 24 个漏洞中，有一个已确认在 GitHub 上有公开的 PoC，需要立即采取措施。
结论
CVE-2025-5777 是一个关键漏洞，使用 Citrix NetScaler 设备的组织必须予以重视。PoC 发布后，大规模扫描尝试已成为现实——因此，主动检查和提前响应至关重要。
通过使用 Criminal IP 资产搜索和 ASM，可以快速识别暴露在外的 NetScaler 资产，从而使组织能够通过应用最新的安全补丁和使会话失效来预防潜在攻击。 CSD0tFqvECLokhw9aBeRqqy7pDVE9jtHSghPeFdiPyEL7wjzPj54BSwTk4ipkRY3NoCd7Mu85AvJvh92xhtSea0LXJdkUQBeUrl9DxuW0eMZmX8CgESe7QPXhYJWyWpMsIZf/G5fJuNBbuprtRMzB+A41KG+TFSp9WweBa00+QvwCUIJvZzhxLjpZXV/ehI8
