Hacker nutzen CitrixBleed 2 aus, um Session-Tokens zu kapern und MFA-Schutzmaßnahmen von Unternehmen zu umgehen
TL;DR
Hacker nutzen CitrixBleed 2 aus, um Session-Tokens zu kapern und MFA-Schutzmaßnahmen von Unternehmen zu umgehen
Die Sicherheitswelt ist derzeit in Aufruhr wegen „CitrixBleed 2“, einer gefährlichen Schwachstelle, die unter CVE-2025-5777 geführt wird. Es handelt sich dabei nicht nur um einen theoretischen Fehler; er wird aktiv ausgenutzt, um die NetScaler-Infrastruktur von Unternehmen zu infiltrieren. Im Kern handelt es sich um einen Out-of-Bounds-Speicherlesefehler. Einfach ausgedrückt: Er ermöglicht es nicht authentifizierten Angreifern, sensible Speicherdaten auszulesen, aktive Benutzersitzungen zu kapern und die Multi-Faktor-Authentifizierung (MFA) zu umgehen, als wäre sie gar nicht vorhanden.
Dies ist kein subtiler Exploit, sondern ein massiver Angriff. Durch das Senden einer einzigen, speziell präparierten HTTP-POST-Anfrage an den Endpunkt /p/u/doAuthentication.do können Angreifer legitime Benutzer effektiv imitieren. Da der Angriff direkt auf den Authentifizierungs-Handler abzielt, ist er zur bevorzugten Methode für Bedrohungsakteure geworden, die sich einen festen Stand in Unternehmensnetzwerken verschaffen wollen. Sobald sie drin sind, haben sie oft vollen Zugriff auf kritische Systeme.
Das Ausmaß des Angriffs
Die Auswirkungen sind bereits erheblich. Berichte bestätigen, dass mindestens 100 Organisationen durch CitrixBleed 2 kompromittiert wurden. Und das Erschreckende daran: Trotz dringender Warnungen und verfügbarer Patches sind weltweit immer noch Tausende von Citrix-Instanzen ungeschützt und offen zugänglich.
Der CISA Known Exploited Vulnerabilities (KEV) Katalog hat diese Schwachstelle am 10. Juli 2025 offiziell gelistet, was das Gefahrenpotenzial unterstreicht. Mit einem CVSS-Score von 9,3 ist dies ein Fall, bei dem sofortiges Handeln erforderlich ist. Die Ursache ist ein klassischer Fall von unzureichender Eingabevalidierung – spezifisch CWE-457 – innerhalb des NetScaler ADC- und Gateway-Authentifizierungsprozesses.
Hinter den Kulissen: Warum es funktioniert
Die Schwachstelle trifft NetScaler ADC- und Gateway-Geräte hart, insbesondere solche, die als VPN-, ICA-, CVPN-, RDP- oder AAA-virtuelle Server fungieren. Durch die Manipulation des Authentifizierungs-Handlers benötigen Angreifer weder Ihr Passwort noch Ihr MFA-Token. Sie haben den Türsteher bereits umgangen.
Wer tiefer in die Materie eintauchen möchte: Die technische Analyse der CitrixBleed 2 Exploit-Mechanik zeigt, dass das Speicherleck genügend Sitzungsdaten liefert, um die Identität eines legitimen Benutzers zu klonen. Es ist präzise, schnell und verheerend effektiv.
| Attribut | Details |
|---|---|
| Schwachstellen-ID | CVE-2025-5777 |
| CVSS-Score | 9,3 (Kritisch) |
| Ursache | Unzureichende Eingabevalidierung (CWE-457) |
| Angriffsvektor | Nicht authentifizierter HTTP-POST |
| Primärer Endpunkt | /p/u/doAuthentication.do |
So sichern Sie Ihre Systeme
Wenn Sie NetScaler-Infrastruktur betreiben, haben Sie keine Zeit zu verlieren. Sie müssen Ihren Patch-Status umgehend überprüfen. Die offizielle Anleitung von Citrix ist Ihr Leitfaden für die Behebung.
Das sollten Sie sofort tun:
- Alles patchen: Patchen Sie nicht nur die Edge-Systeme; installieren Sie die neuesten Hersteller-Updates auf allen NetScaler ADC- und Gateway-Instanzen.
- Logs durchsuchen: Suchen Sie nach verdächtigen HTTP-POST-Anfragen an den Endpunkt
/p/u/doAuthentication.do. Wenn Sie solche finden, gehen Sie von einer Kompromittierung aus. - Perimeter absichern: Wenn Sie nicht sofort patchen können, beschränken Sie den Zugriff auf Management- und Authentifizierungsschnittstellen auf vertrauenswürdige IP-Bereiche. Dies ist eine vorübergehende Maßnahme, aber besser, als die Tür offen zu lassen.
- Auf Geister-Sitzungen achten: Achten Sie genau auf anomale Sitzungsaktivitäten oder gleichzeitige Anmeldungen, die nicht dem typischen Verhalten Ihrer Benutzer entsprechen.
Die Persistenz dieser Bedrohung wird durch die schiere Anzahl ungeschützter Systeme im Internet angetrieben. Da der Exploit so einfach auszuführen ist und der Gewinn – das vollständige Kapern von Sitzungen – so hoch ist, ist dies derzeit ein Top-Ziel für Cyberkriminelle.
Die Realität ist, dass das Risiko so lange extrem hoch bleibt, bis jede anfällige Instanz gepatcht ist. Wenn Sie Ihre Umgebung noch nicht überprüft haben, betrachten Sie dies als Weckruf. Behandeln Sie CVE-2025-5777 als kritische Bedrohung für die Integrität Ihres internen Netzwerks. Warten Sie nicht auf eine Warnmeldung, dass Sie bereits angegriffen wurden – ergreifen Sie jetzt die Initiative, um Ihre Infrastruktur zu sichern.
