L’emergenza relativa alla vulnerabilità CVE-2025-5777, battezzata con nome “CitrixBleed 2” per la sua somiglianza con la nota CVE-2023-4966, già sfruttata in passato per attacchi di ampia portata, non rappresenta una novità improvvisa. La vulnerabilità, riscontrata in Citrix NetScaler ADC e NetScaler Gateway, è stata resa nota e corretta da Citrix a inizio giugno 2025, ma ha recentemente attirato maggiore attenzione a seguito del rilascio di un Proof-of-Concept (PoC) pubblico e delle prime segnalazioni di sfruttamento attivo in-the-wild.

Il ritardo nell’applicazione delle patch da parte di molte organizzazioni, incluse numerose Pubbliche Amministrazioni, ha aumentato in modo significativo il rischio di attacchi, soprattutto ora che è disponibile un PoC funzionante e sono stati confermati tentativi di sfruttamento.

In data odierna il CERT-AGID ha avuto evidenza di scansioni pubbliche mirate a individuare host vulnerabili. Attualmente, su una lista di 18K host, risultano oltre 70 domini italiani potenzialmente vulnerabili tra cui alcuni di Pubbliche Amministrazioni, istituti bancari, agenzie assicurative e organizzazioni private. Le Pubbliche Amministrazioni coinvolte sono state puntualmente informate dal CERT-AGID affinché possano intraprendere con urgenza le azioni di mitigazione necessarie.

Modalità di sfruttamento

Il difetto nasce da una validazione insufficiente degli input, che permette a un attaccante remoto non autenticato di inviare richieste appositamente costruite che consentono di ottenere risposte contenenti parti di memoria non inizializzate o sensibili. Nello specifico, l’attacco può essere portato a termine con i seguenti step.

• L’attaccante invia una richiesta HTTP POST manipolata all’endpoint di login del Gateway.
• La richiesta include solo il parametro login senza valore né simbolo “=” (es. login al posto di login=username).
• Un difetto di inizializzazione nel backend fa sì che il server risponda con una struttura XML contenente il tag <InitialValue>, che può esporre dati di memoria non inizializzata.
• L’utilizzo del formato <InitialValue>%.*s</InitialValue> per stampare la variabile in questione fa sì che il contenuto venga restituito fino al primo byte nullo. Tuttavia, richieste ripetute possono rivelare segmenti di memoria aggiuntivi.

Esempio di richiesta che sfrutta la vulnerabilità

POST /login HTTP/1.1
Host: [citrix-gateway-target]Content-Type: application/x-www-form-urlencodedContent-Length: 5login

Impatti potenziali

Se sfruttata, la vulnerabilità consente ad attori non autenticati di:

• accedere a token di autenticazione direttamente dalla memoria del dispositivo;
• bypassare l’autenticazione a più fattori (MFA);
• dirottare sessioni utente attive;
• ottenere accesso non autorizzato a sistemi critici.

Le conseguenze possono includere violazioni di dati, attacchi ransomware o interruzioni operative.

Azioni di mitigazione

• Applicare le patch per tutte le versioni supportate e/o aggiornare immediatamente le versioni EOL.
• Dopo l’aggiornamento, terminare tutte le sessioni attive per prevenire accessi non autorizzati tramite sessioni compromesse.
• Monitorare i log per attività sospette, in particolare accessi anomali o provenienti da IP non riconosciuti.

Risorse utili

• Supporto ufficiale Citrix: https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX693420
• PoC in Python per testare la vulnerabilità: https://github.com/edelucia/poc/blob/main/CitrixBleed2/CVE-2025-5777.py