「Citrix Bleed 2」への懸念広がる - 提供元は「悪用未確認」強調

「NetScaler ADC（旧Citrix ADC）」「NetScaler Gateway（旧Citrix Gateway）」の既知脆弱性が、過去に大きなインパクトを与えた脆弱性を想起させる「Citrix Bleed 2」と一部で呼ばれ、悪用への懸念が高まっている。Cloud Software Groupは悪用を未確認とするが、悪用された可能性を指摘する声も上がっている。

同社は現地時間2025年6月17日に脆弱性「CVE-2025-5777」「CVE-2025-5349」に関するセキュリティアドバイザリを公開。共通脆弱性評価システム「CVSSv4.0」のベーススコアをそれぞれ「9.3」「8.7」とし、注意喚起を行っていた。

脆弱性「CVE-2025-5777」は、入力検証の不備により、域外メモリの読み取りによりトークンを窃取でき、一部では「Citrix Bleed 2」とも呼ばれている。別名「Citrix Bleed」として過去に大きな影響を与えた「CVE-2023-4966」を想起させる名称となっている。

「CVE-2023-4966（Citrix Bleed）」は、バッファオーバーフローにより、リモートよりメモリ上の「セッションCookie」を窃取されるおそれがある深刻な脆弱性。

現地時間2023年10月10日に公開されたセキュリティアドバイザリで明らかとなった。当初悪用への言及はなかったが、同月17日にアドバイザリが更新され、悪用されていることが判明している。

（Security NEXT - 2025/07/02 ） ツイート

PR

関連記事

APIゲートウェイ「Apache APISIX」に認証回避おそれ
「Apache Seata」脆弱性、対象版に誤り - 一部で「クリティカル」との評価も
ITインフラ監視ツール「Pandora FMS」に脆弱性 - アップデートで修正
「Active! mail 6」に「XSS」や「CSRF」脆弱性 - 修正版へ更新を
「PHP」に複数脆弱性 - セキュリティリリースが公開
ブラウザ「Chrome」の「Cookie暗号化保護」を破壊する「C4攻撃」
「Chromium」の脆弱性狙う攻撃 - 派生ブラウザ利用者も注意を
「Lucee」にクリティカル脆弱性 - 悪用コード公開済み
「MS Edge」にアップデート - ゼロデイ脆弱性などに対応
「Cisco Unified CM」に深刻なRCE脆弱性 - ESリリースのみ影響