Citrix Bleed 2 (CVE-2025-5777) : Une faille critique à neutraliser d’urgence

Le 17 juin 2025, une alerte a secoué le monde de la cybersécurité : Citrix a révélé CVE-2025-5777, surnommée Citrix Bleed 2, une vulnérabilité critique affectant ses appliances NetScaler ADC et NetScaler Gateway dans les configurations Gateway ou AAA. Cette faille, notée 9.3/10 sur l’échelle CVSS v4.0, permet à un attaquant non authentifié de lire des zones sensibles de la mémoire du serveur, exposant potentiellement des jetons de session, des cookies, voire des identifiants. En clair, c’est une porte ouverte pour pirater des accès à distance sans mot de passe. Voici tout ce que vous devez savoir et faire, maintenant.

Une faille silencieuse, mais dévastatrice

Citrix Bleed 2 est une vulnérabilité de type out-of-bounds read (lecture hors limites). En envoyant une requête HTTP POST malformée à l’endpoint /p/u/doAuthentication.do sans valeur pour le paramètre login, un attaquant peut provoquer une fuite de mémoire non initialisée, retournée dans une balise XML <InitialValue>. Cette fuite peut révéler des jetons de session valides, y compris pour des comptes administrateurs comme nsroot, permettant un détournement de session ou un contournement de l’authentification multifacteur (MFA).

Imaginez un employé se connectant à distance via Citrix pour accéder à son bureau virtuel. Un pirate exploitant cette faille pourrait voler sa session active et pénétrer l’environnement de l’entreprise sans jamais saisir de mot de passe, même avec MFA en place. Avec un score CVSS de 9.3, cette faille est classée critique, une urgence absolue.

Chronologie et exploitation en cours

• 17 juin 2025 : Citrix publie son bulletin de sécurité (CTX693420) et des correctifs pour CVE-2025-5777.
• 23 juin 2025 : Citrix précise que les configurations Gateway (VPN virtuel, ICA Proxy, CVPN, RDP Proxy) et AAA sont affectées.
• Fin juin/début juillet 2025 :
  • Des preuves de concept (PoC) publics sont publiées : watchTowr le 4 juillet, Horizon3.ai le 7 juillet, démontrant une exploitation simple via des requêtes malformées.
  • ReliaQuest rapporte une « confiance moyenne » dans des signes d’exploitation : sessions MFA contournées, connexions depuis des VPN publics (comme DataCamp), et activités de reconnaissance Active Directory (LDAP, ADExplorer64.exe).
  • Kevin Beaumont signale des tentatives d’exploitation dès mi-juin, avant même les PoC publics.
• Début juillet 2025 : La CISA ajoute CVE-2025-5777 à son catalogue Known Exploited Vulnerabilities (KEV), confirmant des preuves crédibles d’exploitation active, corroborées par des sources comme SOCRadar, The Hacker News et GovInfoSecurity.

Citrix affirme, au 27 juin 2025, n’avoir « aucune preuve » d’exploitation dans ses infrastructures, mais les rapports de chercheurs indépendants et l’inclusion dans le catalogue CISA indiquent clairement que des attaques sont en cours. Plus de 56 500 endpoints NetScaler sont exposés publiquement selon Censys, et Shadowserver estime que 1 200 appliances restent non patchées fin juin, augmentant le risque.

Versions vulnérables et correctifs

Les versions suivantes sont affectées :

• NetScaler ADC/Gateway 14.1 < 14.1-43.56
• NetScaler ADC/Gateway 13.1 < 13.1-58.32
• NetScaler ADC 13.1-FIPS/NDcPP < 13.1-37.235
• NetScaler ADC 12.1-FIPS < 12.1-55.328

Attention : Les versions 12.1 et 13.0 (non-FIPS) sont en fin de support (EOL) et ne recevront pas de correctifs. Une mise à niveau vers une version supportée est obligatoire. Les environnements Citrix-managed (cloud) sont automatiquement mis à jour par Citrix, mais les appliances gérées en interne doivent être patchées manuellement.

Actions à prendre immédiatement

Pour protéger votre infrastructure, suivez ces étapes sans tarder :

1. Identifiez les systèmes vulnérables :
   • Auditez vos appliances NetScaler configurées comme Gateway ou AAA.
   • Vérifiez les versions installées (voir liste ci-dessus).
2. Appliquez les correctifs du 17 juin 2025 :
   • Mettez à jour vers les versions patchées : 14.1-43.56+, 13.1-58.32+, 13.1-FIPS 37.235+, ou 12.1-FIPS 55.328+.
   • Pour les versions EOL (12.1, 13.0), passez immédiatement à une version supportée.
3. Terminez toutes les sessions actives :
   • Après le patch, exécutez ces commandes pour fermer les sessions ICA et PCoIP potentiellement compromises :kill icaconnection -all kill pcoipConnection -all
   • Vérifiez d’abord les sessions actives avec show icaconnection ou via NetScaler Gateway > PCoIP > Connections.
4. Surveillez les journaux pour détecter des anomalies :
   • Cherchez des requêtes POST répétées sur /p/u/doAuthentication.do avec Content-Length: 5 ou des caractères non imprimables dans ns.log.
   • Vérifiez les sessions MFA contournées depuis des IP suspectes (par exemple, VPN publics ou datacenters).
   • Repérez des activités de reconnaissance AD (LDAP, utilisation d’ADExplorer64.exe).
5. Restreignez l’accès en attendant le patch :
   • Limitez l’exposition des appliances via des règles ACL ou firewalls pour bloquer les accès externes non essentiels.
6. Maintenez une veille active :
   • Consultez les IoC et Sigma-rules via SOC Prime, Picus, Tenable ou Arctic Wolf pour détecter les attaques.
   • Suivez les mises à jour du bulletin Citrix (CTX693420).

Pourquoi agir vite ?

• Facilité d’exploitation : Les PoC publics rendent la faille accessible à tout attaquant, même peu qualifié.
• Exploitation confirmée : Malgré la prudence de Citrix, la CISA et des chercheurs indépendants confirment des attaques réelles.
• Exposition massive : Des milliers d’appliances restent vulnérables, avec plus de 1 200 non patchées selon Shadowserver.

Pour conclure,

Citrix Bleed 2 (CVE-2025-5777) est une menace réelle et critique, déjà exploitée dans la nature. Ne sous-estimez pas le risque : un pirate pourrait s’infiltrer dans votre réseau sans laisser de trace. Les étapes sont simples, mais vitales :

1. Identifiez vos systèmes vulnérables.
2. Patchez sans délai.
3. Terminez les sessions actives.
4. Surveillez vos journaux.
5. Restreignez l’accès si nécessaire.

Agissez maintenant pour éviter une compromission silencieuse. La rapidité est votre meilleure défense !