Citrix Bleed 2: parchea NetScaler CVE-2025-5777 y cierra las sesiones
Citrix publicó CVE-2025-5777 el 17 de junio de 2025 para NetScaler ADC y Gateway. Es el fallo de lectura de memoria que se llamó Citrix Bleed 2. CISA confirmó uso activo en julio.
El aviso CTX693420 de Citrix cubre CVE-2025-5777, validación de entrada insuficiente en NetScaler ADC y NetScaler Gateway. Un atacante sin autenticación puede leer memoria cuando el aparato es un Gateway — VPN, proxy ICA, CVPN o proxy RDP — o un servidor virtual AAA. La puntuación reportada con el aviso es 9,3.
El apodo Citrix Bleed 2 apunta a la familia de CVE-2023-4966, no a una segunda copia del mismo parche. CISA añadió CVE-2025-5777 al catálogo de explotados el 10 de julio de 2025 después de observar uso desde finales de junio. Citrix dijo que no tenía evidencia de uso el día que divulgó el fallo.
Qué significa revelar memoria en un gateway
El aparato termina el acceso remoto. La memoria de esa caja puede contener material de sesión de quien está conectado. Un fallo de lectura ahí es un camino a la sesión de otra persona, que es por lo que importó el homónimo de 2023 y por lo que este no se archivó como hallazgo bajo.
Esta nota no describe la petición. El hecho defensivo es la configuración que hace el fallo alcanzable: Gateway o AAA, expuesto a la red con la que el atacante puede hablar.
Qué builds nombró Citrix
Los análisis públicos de CTX693420 listan 14.1 anterior a 14.1-43.56, 13.1 anterior a 13.1-58.32, 13.1-FIPS y NDcPP anterior a 13.1-37.235, y 12.1-FIPS anterior a 12.1-55.328. Las ramas 12.1 y 13.0 están fuera de soporte y no reciben arreglo.
Cruza esos pisos con el build del aparato, no con la licencia que compraste. Una pareja activo/pasivo necesita el build en los dos. El que olvidaste en una sucursal es el que sigue legible.
Por qué el parche incluye matar sesiones
Si la memoria ya salió de la caja, las sesiones que iba dentro no las repara el build nuevo. La guía de Citrix para esta clase de fallo es instalar el build corregido y luego terminar las sesiones existentes para que el material robado deje de servir. Hazlo en una ventana, y avisa a quien va a quedar fuera.
Los aparatos fuera de soporte no tienen un build que esperar. Reemplázalos o saca el Gateway de internet. Un control compensatorio que deja el servidor virtual en pie no es la mitigación del aviso.
Orden del trabajo
Inventaría cada NetScaler que termine VPN o AAA, incluidos los que administra un socio. Sube al build corregido de esa rama, reinicia como pida la actualización y limpia las sesiones. Confirma los dos nodos de una pareja.
Después mira los registros del gateway desde el 23 de junio de 2025, cuando luego se reportó que había empezado el uso, buscando anomalías de autenticación que no puedas explicar. Rota credenciales que hubieran estado en la memoria del gateway si no puedes mostrar que el aparato ya estaba parcheado. Otro fallo de NetScaler, CVE-2025-6543, lo listó CISA el 30 de junio de 2025. Revísalo en el mismo cambio si tu build va detrás en los dos.
Cobertura de CISA al añadir CVE-2025-5777, y el registro de NVD del fallo de NetScaler.
https://thehackernews.com/2025/07/cisa-adds-citrix-netscaler-cve-2025.html
Preguntas frecuentes
¿Citrix Bleed 2 es el mismo parche de 2023?
No. CVE-2025-5777 es un fallo de 2025 en NetScaler ADC y Gateway. CVE-2023-4966 fue la revelación de memoria anterior. Un aparato parcheado en 2023 no quedó parcheado para este.
¿Tengo que desconectar a los usuarios?
Sí, después de que el build corregido esté en marcha. Las sesiones emitidas antes de la actualización pueden llevar material que ya fue leído. Agenda la desconexión y dilo.
¿Qué pasa si el aparato está fuera de soporte?
12.1 y 13.0 no reciben arreglo. Reemplaza el gateway o sácalo de la red. No hay un hotfix posterior que esperar en esas ramas.