Vulnérabilité critique dans Citrix Netscaler

Produits concernés

• NetScaler ADC et NetScaler Gateway 14.1 AVANT 14.1-47.48

• NetScaler ADC et NetScaler Gateway 13.1 AVANT 13.1-59.22

• NetScaler ADC 13.1-FIPS et NDcPP AVANT 13.1-37.241-FIPS et NDcPP

• NetScaler ADC 12.1-FIPS et NDcPP AVANT 12.1-55.330-FIPS et NDcPP

Prérequis

• NetScaler configuré comme Gateway (serveur virtuel VPN, proxy ICA, CVPN, proxy RDP) ou comme serveur virtuel AAA

• NetScaler utilisant les serveurs virtuels de Load Balancing (type HTTP, SSL ou HTTP_QUIC) liés à des services IPv6

• Netscaler utilisant des serveurs virtuels CR de type HDX

Risques

• Exécution de code arbitraire

• Accès au réseau interne de l’entreprise

• Déploiement de malware sur l’actif

Résumé

Citrix a publié le 26 août 2025 un avis de sécurité concernant plusieurs vulnérabilités affectant ses solutions NetScaler ADC et NetScaler Gateway. Ces vulnérabilités peuvent conduire à la compromission complète de l’équipement et à la fuite d’informations sensibles.

• CVE-2025-7775 : Cette vulnérabilité est la plus critique des trois et implique un dépassement de mémoire dans les équipements Citrix NetScaler ADC et NetScaler Gateway. Un attaquant disposant d’un simple accès réseau à l’application vulnérable peut exploiter cette faille afin de compromettre l’équipement et d’obtenir un accès non autorisé sur le réseau interne de l’entreprise.

Le bulletin de l’éditeur mentionne également les vulnérabilités CVE-2025-7776 et CVE-2025-8424, qui peuvent, elles aussi, permettre de compromettre la sécurité des solutions NetScaler ADC et NetScaler Gateway exposées.

En cas d’exploitation réussie, un attaquant pourra exécuter du code sur l’équipement. Il lui sera alors possible d’avoir un accès au réseau interne de l’entreprise, de récupérer des comptes via l’écoute des échanges sur l’équipement ou la lecture de la configuration, ou encore de déployer des malwares sur l’actif.

L’exploitation de ces vulnérabilités pouvant se faire à distance, la solution est particulièrement à risque si exposée sur Internet.

Citrix a mentionné des exploitations actives de la vulnérabilité CVE-2025-7775. De plus, le CISA a ajouté cette CVE dans sa liste de vulnérabilités exploitées. À ce jour, aucun PoC n’a été publié sur Internet.

Etant donné le risque associé, nous préconisons de corriger cette vulnérabilité sans plus attendre.

Solutions

Détection de la vulnérabilité :

Il est possible de déterminer si une appliance est configurée de manière vulnérable en inspectant la configuration NetScaler à la recherche de l’une des chaînes suivantes (les caractères .* indiquent des wildcards) :

• Serveur d’authentification (AAA Vserver)

add authentication vserver .*

• Passerelle (Gateway – VPN Vserver, ICA Proxy, CVPN, RDP Proxy)

add vpn vserver .*

Serveur virtuel de Load Balancing (LB vserver) de type HTTP_QUIC | SSL | HTTP lié à des services IPv6 ou à des groupes de services liés à des serveurs IPv6 :

enable ns feature lb.*
add serviceGroup .* (HTTP_QUIC|SSL|HTTP) .*
add server .* 
bind servicegroup   .*
add lb vserver .* (HTTP_QUIC|SSL|HTTP) .*
bind lb vserver .*

Serveur virtuel de Load Balancing (LB vserver) de type HTTP_QUIC | SSL | HTTP lié à des services IPv6 DBS ou à des groupes de services liés à des serveurs IPv6 DBS :

enable ns feature lb.*
add serviceGroup .* (HTTP_QUIC|SSL|HTTP) .*
add server .*  -queryType AAAA
add service .* 
bind servicegroup   .*
add lb vserver .* (HTTP_QUIC|SSL|HTTP) .*
bind lb vserver .*

• Serveur virtuel CR de type HDX ::