CVE-2025-7775 – Overflow di memoria in Citrix NetScaler ADC/Gateway (Zero-Day RCE)

CVE-2025-7775 è una vulnerabilità critica di tipo zero-day per overflow di memoria che interessa Citrix NetScaler ADC e NetScaler Gateway—specificamente in configurazioni che coinvolgono VPN, AAA, bilanciamento IPv6 o server virtuali HDX. Consente l’esecuzione di codice remoto (RCE) non autenticata e/o denial-of-service (DoS). La vulnerabilità è già stata sfruttata attivamente e ha un punteggio CVSS 4.0 pari a 9.2 (Critico). Citrix dichiara che non esistono mitigazioni se non attraverso l’applicazione della patch.

Le agenzie federali statunitensi sono obbligate ad applicare la patch entro il 28 agosto 2025, a seguito dell’inserimento della vulnerabilità nel Catalogo delle Vulnerabilità Sfruttate Conosciute (KEV) della CISA.

Riassunto tecnico

Tipo di vulnerabilità: Vulnerabilità di overflow di memoria (CWE-119) in NetScaler ADC e Gateway.
Sfruttabilità:

• Sfruttamento remoto—nessuna autenticazione o interazione dell’utente richiesta.
• Gravità elevata—sono stati osservati attacchi attivi.
  Configurazioni limitate interessate: Solo appliance configurati come Gateway, server virtuale AAA, server virtuali LB IPv6-bound (HTTP, SSL, HTTP_QUIC) o server CR con HDX.
  Impatto:
• Confidenzialità: Potenziale compromissione completa del sistema tramite RCE.
• Integrità & Disponibilità: Interruzione del servizio o installazione di backdoor.
  Versioni interessate:
• NetScaler ADC/Gateway 14.1 precedente a 14.1-47.48
• 13.1 precedente a 13.1-59.22
• 13.1-FIPS/NDcPP precedente a 13.1-37.241
• 12.1-FIPS/NDcPP precedente a 12.1-55.330

Raccomandazioni

1. Applicare immediatamente le patch

• Aggiornare alle versioni corrette:
  • 14.1-47.48 o successiva
  • 13.1-59.22 o successiva
  • 13.1-37.241 (FIPS/NDcPP) o successiva
  • 12.1-55.330 (FIPS/NDcPP) o successiva

1. Controllare le configurazioni

• Verificare ns.conf per ruoli come Gateway, AAA, server virtuale LB IPv6, server CR HDX per valutare l’esposizione.

1. Isolare i dispositivi vulnerabili

• Se non è possibile applicare subito le patch, limitare l’esposizione isolando dalla rete internet gli appliance NetScaler interessati.

1. Monitorare attività sospette

• Esaminare i log alla ricerca di indicatori come accesso shell non giustificato o tentativi anomali di RCE.
• È consigliata un’attività di incident response, in quanto l’exploit è già stato osservato.

1. Adottare una strategia Defense-in-Depth

• Assicurarsi che le interfacce di gestione (NSIP, ecc.) non siano accessibili da internet.
• Implementare segmentazione della rete e solidi meccanismi di controllo degli accessi.

1. Rimanere aggiornati sulle vulnerabilità correlate

• CVE-2025-7776 (altro overflow di memoria) e CVE-2025-8424 (controllo di accesso improprio) sono inclusi nello stesso avviso—assicurarsi che siano coperte dal proprio processo di patching.