「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調

「NetScaler ADC（旧Citrix ADC）」「NetScaler Gateway（旧Citrix Gateway）」の既知脆弱性が、過去に大きなインパクトを与えた脆弱性を想起させる「Citrix Bleed 2」と一部で呼ばれ、悪用への懸念が高まっている。Cloud Software Groupは悪用を未確認とするが、悪用された可能性を指摘する声も上がっている。

同社は現地時間2025年6月17日に脆弱性「CVE-2025-5777」「CVE-2025-5349」に関するセキュリティアドバイザリを公開。共通脆弱性評価システム「CVSSv4.0」のベーススコアをそれぞれ「9.3」「8.7」とし、注意喚起を行っていた。

脆弱性「CVE-2025-5777」は、入力検証の不備により、域外メモリの読み取りによりトークンを窃取でき、一部では「Citrix Bleed 2」とも呼ばれている。別名「Citrix Bleed」として過去に大きな影響を与えた「CVE-2023-4966」を想起させる名称となっている。

「CVE-2023-4966（Citrix Bleed）」は、バッファオーバーフローにより、リモートよりメモリ上の「セッションCookie」を窃取されるおそれがある深刻な脆弱性。

現地時間2023年10月10日に公開されたセキュリティアドバイザリで明らかとなった。当初悪用への言及はなかったが、同月17日にアドバイザリが更新され、悪用されていることが判明している。

（Security NEXT - 2025/07/02 ） ツイート

PR

関連記事

米当局、「FortiWeb」の脆弱性悪用に注意喚起
「FortiWeb」に深刻な脆弱性 - すでに攻撃も
NECのHAクラスタソフト「CLUSTERPRO X」に深刻な脆弱性
Apple、脆弱性を修正した「iOS 18.7.2」「iPadOS 18.7.2」を公開
「Django」にSQLiやDoS脆弱性 - 修正版をリリース
「Dell Data Lakehouse」が脆弱性145件を修正 - 深刻な脆弱性も
マルウェア対策製品「Avast」「AVG」に深刻な脆弱性
DB管理ツール「pgAdmin4」に複数脆弱性 - 重要度「クリティカル」も
Adobeが定例アップデート - 8製品29件の脆弱性を修正
「Symfony」に脆弱性 - アクセス制御ルールが回避されるおそれ