NetScaler предупредил администраторов о трёх новых уязвимостях в NetScaler ADC и NetScaler Gateway, одна из которых уже используется в атаках. Обновления доступны, а производитель настоятельно просит установить их без промедления – эксплойты для CVE-2025-7775 замечены на незащищённых устройствах.
Речь идёт о переполнении памяти с риском выполнения кода и отказа в обслуживании, второй схожей ошибке с падением служб и непредсказуемым поведением, а также о проблеме контроля доступа на интерфейсе управления. Дефекты касаются как обычных релизов, так и соответствующих FIPS/NDcPP сборок. Для управляемых производителем облачных сервисов обновления уже развёрнуты, но клиентские инсталляции требуют ручного апгрейда.
Под удар попадают поддерживаемые ветки: NetScaler ADC и Gateway 14.1 до 14.1-47.48, 13.1 до 13.1-59.22, а также NetScaler ADC 13.1-FIPS/NDcPP до 13.1-37.241 и 12.1-FIPS/NDcPP до 12.1-55.330. Отдельно отмечено, что ветки 12.1 и 13.0 сняты с поддержки и должны быть переведены на актуальные линии. Обновления выпускаются как для стандартных шлюзов, так и для развертываний Secure Private Access on-prem и гибридных сценариев, где используются инстансы NetScaler.
| CVE-ID | Описание | Предварительные условия | CWE | CVSS v4.0 |
|---|---|---|---|---|
| CVE-2025-7775 | Переполнение памяти, приводящее к удалённому выполнению кода и/или отказу в обслуживании |
| CWE-119 – Неправильное ограничение операций в пределах буфера памяти | Базовая оценка: 9.2 |
| CVE-2025-7776 | Переполнение памяти, ведущее к непредсказуемому или ошибочному поведению и отказу в обслуживании |
| CWE-119 – Неправильное ограничение операций в пределах буфера памяти | Базовая оценка: 8.8 |
| СVE-2025-8424 | Неверный контроль доступа на интерфейсе управления NetScaler |
| CWE-284 – Неправильный контроль доступа | Базовая оценка: 8.7 |
Citrix рекомендует обновиться до следующих сборок:
14.1-47.48 и новее для линии 14.1;
13.1-59.22 и новее для 13.1;
13.1-37.241 и новее для 13.1-FIPS/NDcPP;
12.1-55.330 и новее для 12.1-FIPS/NDcPP.
Обходных мер не предусмотрено. Для управляемых Citrix облаков и Adaptive Authentication исправления уже внедрены.
Чтобы оценить собственную экспозицию под CVE -2025-7775, администраторы могут проверить конфигурацию на наличие характерных строк, указанных в бюллетене. Citrix разослал клиентам и партнёрам уведомление через сайт поддержки NetScaler. Проблемы также подтверждены отраслевыми сводками и базами уязвимостей.