Multiples vulnérabilités dans Citrix NetScaler ADC et NetScaler Gateway
ANSSI — Licence Ouverte / Etalab 2.0. Publication d'origine, 1er juillet 2025.
L'essentiel
- Le 17 juin 2025, Citrix a publié un bulletin de sécurité concernant notamment la vulnérabilité CVE-2025-5777 [11].
- Le 4 juillet 2025, une preuve de concept a été publiée publiquement.
- Le 25 juin 2025, Citrix a publié un avis de sécurité concernant la vulnérabilité CVE-2025-6543 affectant NetScaler ADC et NetScaler Gateway.
Phrases relevées telles quelles dans le texte officiel reproduit ci-dessous (ANSSI, Licence Ouverte / Etalab 2.0).
Texte officiel intégral
Ci-dessous, le corps complet de la publication de ANSSI, reproduit sans modification. La Licence Ouverte / Etalab 2.0 en autorise expressément la reproduction, à la seule condition d'en mentionner la paternité.
Les déploiements de Secure Private Access on-prem et Secure Private Access Hybrid utilisant des instances NetScaler sont également affectés par cette vulnérabilité.
Résumé
L'éditeur a publié un lien contenant une méthode d'évaluation permettant d'identifier des tentatives d'exploitation dans les journaux applicatifs et systèmes [12].
Le 17 juin 2025, Citrix a publié un bulletin de sécurité concernant notamment la vulnérabilité CVE-2025-5777 [11]. Celle-ci permet à un attaquant non authentifié de faire fuiter des portions aléatoires de la mémoire de NetScaler ADC et NetScaler Gateway et ainsi potentiellement récupérer les informations de connexion d'une session active.
Le 4 juillet 2025, une preuve de concept a été publiée publiquement. Celle-ci est triviale à utiliser et le CERT-FR constate des exploitations actives. La vulnérabilité CVE-2025-5777 est exploitable par le biais du formulaire d'authentification.
Citrix recommande l'arrêt de toutes les sessions ICA et PCoIP actives après l'installation du correctif. Le CERT-FR recommande d'aller plus loin avec l'inspection des sessions actives fraîchement renouvelées en ciblant en priorité celles qui proviennent de plusieurs adresses IP. De plus, si le correctif pour la vulnérabilité CVE-2025-5777 a été installé après la publication de la preuve de concept, le CERT-FR recommande également le renouvellement des mots de passe des utilisateurs.
Les vulnérabilités CVE-2025-6543 et CVE-2025-5777 étant activement exploitées, tout Netscaler exposé qui n'aurait pas reçu les correctifs pour ces deux vulnérabilités doit être considéré comme compromis.
Le 25 juin 2025, Citrix a publié un avis de sécurité concernant la vulnérabilité CVE-2025-6543 affectant NetScaler ADC et NetScaler Gateway. L'éditeur lui a attribué un score CVSS v4.0 de 9,2 et indique qu'elle permet à un attaquant de provoquer un débordement de mémoire entrainant un flux de contrôle imprévu et un déni de service à distance. L'équipement est vulnérable s'il est configuré en tant que passerelle ( Gateway : VPN virtual server, ICA Proxy, CVPN, RDP Proxy ) ou en tant que serveur virtuel AAA ( AAA virtual server ).
Citrix indique que les produits NetScaler ADC et NetScaler Gateway en version 12.1 et 13.0 sont en fin de vie. L'éditeur recommande aux utilisateurs de migrer vers une version supportée et à jour.
Citrix déclare avoir connaissance d'exploitations actives de cette vulnérabilité.
L'obtention des marqueurs de compromission se fait via la page d’assistance de Citrix [1][2]. NetScaler préconise en particulier de rechercher des arrêts inopinés [2].
En cas de suspicion de compromission, l'éditeur recommande [3] :
- si le NetScaler est une instance virtuelle VPX : réaliser un instantané du système de fichier et de la mémoire vive ;
- documenter l'heure du système, les paramètres du fuseau horaire et la configuration NTP avant l'isolation ;
- si possible, éviter d'éteindre la machine afin de conserver les traces nécessaires aux investigations ;
- isoler totalement la machine concernée du réseau, vis-à-vis d'Internet comme du réseau interne, afin de limiter les risques de nouvel accès non autorisé et de latéralisation ;
- révoquer des informations d'identification et d'accès : changer les mots de passe et secrets des comptes de service stockés sur le NetScaler tel que les comptes de service LDAP, les secrets partagés RADIUS, les jetons OAuth, les clés API, les noms de communauté SNMP ;
- modifier les comptes utilisateurs susceptibles d'avoir été authentifiés via la plateforme suspectée d'être compromise, y compris les serveurs virtuels Gateway ou AAA ;
- révoquer les certificats et les clés privées associées stockées sur la plateforme suspectée d'être compromise ;
- examiner tous les serveurs et systèmes auxquels l'ADC NetScaler s'est connecté pour détecter tout signe de compromission ;
- si le NetScaler est un équipement MPX, se référer au guide pour effacer et réinstaller le MPX [6] ;
- si le NetScaler est un équipement SDX ou une instance virtuelle VPX, se référer au guide pour effacer et réinstaller le SDX ou le VPX [7] ;
- mettre à jour le NetScaler ADC vers la dernière version disponible du micrologiciel ( firmware ) avant de restaurer la sauvegarde de la configuration ;
- restaurer une sauvegarde saine à l'aide de la console NetScaler, se référer au guide pour obtenir des instructions détaillées [8] ;
- pour renforcer le NetScaler ADC, se référer au guide pour obtenir les meilleures pratiques de sécurité pour NetScaler MPX, VPX et SDX [9].
En cas de compromission, signaler l’événement auprès du CERT-FR en mettant en copie vos éventuels CSIRTs métier et consulter les bons réflexes en cas d'intrusion sur un système d'information [10].
Solutions
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation). L'obtention des correctifs 13.1-FIPS et 13.1-NDcPP s'effectue via la page d’assistance de Citrix [1].
Documentation
- [2] Lettre d’information de NetScaler : mises à jour de sécurité critique de NetScaler pour les vulnérabilités CVE-2025-6543 et CVE-2025-5777
- [12] Évaluation des journaux NetScaler pour identifier des tentatives d'exploitation
Fin du texte officiel repris
Source :ANSSI, publié le — Licence Ouverte / Etalab 2.0.
Consulter la publication d'originehttps://www.cert.ssi.gouv.fr/alerte/CERTFR-2025-ALE-009/
Texte reproduit dans son intégralité. La mention de la source et de sa date de dernière mise à jour est la seule condition posée par la Licence Ouverte / Etalab 2.0 ; elle ne confère aucun caractère officiel à cette reprise et ne vaut ni reconnaissance ni caution de fildactu.fr par l'émetteur.
Sources
Sujets liés
Comment ce sujet a-t-il été constitué ?
Les publications des sources suivies sur la rubrique Tech sont dédoublonnées par empreinte de titre sur une fenêtre de 72 heures, puis regroupées lorsqu'elles couvrent le même événement. Le compteur indique combien d'émetteurs distincts l'ont traité.
Le texte encadré plus haut est le corps de la publication de ANSSI, repris dans son intégralité et sans modification. La Licence Ouverte / Etalab 2.0 sous laquelle cet organisme diffuse ses informations concède « un droit non exclusif et gratuit de libre réutilisation », dont celui « de la communiquer, la reproduire, la copier » et « de l'exploiter à titre commercial », sous la seule réserve d'en « mentionner la paternité » — la source et la date de dernière mise à jour, portées en tête et en pied du texte, avec le lien vers l'original. La mise en page — chapô détaché, intertitres, sommaire — est de fildactu.fr ; les mots sont ceux de l'émetteur, et pas un n'a été ajouté, retiré ni reformulé. Pour la presse et pour toute source sans autorisation vérifiée, fildactu.fr ne conserve que le titre tel que publié, le nom de l'éditeur, le lien d'origine et la date.