「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調

「NetScaler ADC（旧Citrix ADC）」「NetScaler Gateway（旧Citrix Gateway）」の既知脆弱性が、過去に大きなインパクトを与えた脆弱性を想起させる「Citrix Bleed 2」と一部で呼ばれ、悪用への懸念が高まっている。Cloud Software Groupは悪用を未確認とするが、悪用された可能性を指摘する声も上がっている。

同社は現地時間2025年6月17日に脆弱性「CVE-2025-5777」「CVE-2025-5349」に関するセキュリティアドバイザリを公開。共通脆弱性評価システム「CVSSv4.0」のベーススコアをそれぞれ「9.3」「8.7」とし、注意喚起を行っていた。

脆弱性「CVE-2025-5777」は、入力検証の不備により、域外メモリの読み取りによりトークンを窃取でき、一部では「Citrix Bleed 2」とも呼ばれている。別名「Citrix Bleed」として過去に大きな影響を与えた「CVE-2023-4966」を想起させる名称となっている。

「CVE-2023-4966（Citrix Bleed）」は、バッファオーバーフローにより、リモートよりメモリ上の「セッションCookie」を窃取されるおそれがある深刻な脆弱性。

現地時間2023年10月10日に公開されたセキュリティアドバイザリで明らかとなった。当初悪用への言及はなかったが、同月17日にアドバイザリが更新され、悪用されていることが判明している。

（Security NEXT - 2025/07/02 ）ツイート

「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調

関連リンク

PR

関連記事