Хакеры используют уязвимость CitrixBleed 2 для перехвата сеансов и обхода корпоративной MFA
TL;DR
Хакеры используют уязвимость CitrixBleed 2 для перехвата сеансов и обхода корпоративной MFA
Мир кибербезопасности потрясен новой угрозой под названием "CitrixBleed 2", зарегистрированной как CVE-2025-5777. Это не просто теоретическая ошибка; она активно используется для атак на корпоративную инфраструктуру NetScaler. По своей сути это уязвимость чтения памяти за пределами буфера (out-of-bounds memory read). Проще говоря, она позволяет неавторизованным злоумышленникам считывать конфиденциальные данные из памяти, перехватывать активные сеансы пользователей и обходить многофакторную аутентификацию (MFA), как будто её вовсе не существует.
Это не тонкий эксплойт, а настоящий «кувалдный» метод. Отправляя один специально сформированный HTTP POST-запрос на эндпоинт /p/u/doAuthentication.do, злоумышленники могут эффективно выдавать себя за легитимных пользователей. Поскольку атака направлена непосредственно на обработчик аутентификации, она стала излюбленным инструментом хакеров, стремящихся закрепиться в корпоративных сетях. Получив доступ, они часто захватывают полный контроль над системой.
Масштабы взлома
Последствия уже значительны. Отчеты подтверждают, что не менее 100 организаций были скомпрометированы через CitrixBleed 2. И вот что самое неприятное: несмотря на срочные предупреждения и наличие патчей, тысячи экземпляров Citrix остаются открытыми и неисправленными.
Каталог CISA Known Exploited Vulnerabilities (KEV) официально добавил эту уязвимость 10 июля 2025 года, что говорит о критическом уровне опасности. С оценкой CVSS 9.3 это ситуация из разряда «бросайте всё и исправляйте». Первопричиной является классический случай недостаточной проверки входных данных — в частности, CWE-457 — в процессе аутентификации NetScaler ADC и Gateway.
Как это работает
Уязвимость сильно бьет по устройствам NetScaler ADC и Gateway, особенно по тем, которые работают в качестве VPN, ICA, CVPN, RDP или AAA виртуальных серверов. Манипулируя обработчиком аутентификации, злоумышленникам не нужны ни ваш пароль, ни ваш MFA-токен. Они уже обошли «привратника».
Если углубиться в детали, технический анализ механики эксплойта CitrixBleed 2 показывает, что утечка памяти предоставляет достаточно данных сеанса для клонирования личности легитимного пользователя. Это хирургически точная, быстрая и разрушительно эффективная атака.
| Атрибут | Детали |
|---|---|
| ID уязвимости | CVE-2025-5777 |
| Оценка CVSS | 9.3 (Критическая) |
| Первопричина | Недостаточная проверка входных данных (CWE-457) |
| Вектор атаки | Неавторизованный HTTP POST |
| Основной эндпоинт | /p/u/doAuthentication.do |
Как защитить систему
Если вы используете инфраструктуру NetScaler, у вас нет времени на ожидание. Вам нужно было проверить статус обновлений еще вчера. Официальное руководство от Citrix — это ваша дорожная карта по исправлению ситуации.
Что нужно сделать немедленно:
- Установите патчи: Не ограничивайтесь только периметром; установите последние обновления от поставщика на все экземпляры NetScaler ADC и Gateway.
- Проверьте логи: Ищите подозрительные HTTP POST-запросы к эндпоинту
/p/u/doAuthentication.do. Если вы их обнаружили, считайте, что система скомпрометирована. - Усильте периметр: Если вы не можете установить патч немедленно, ограничьте доступ к интерфейсам управления и аутентификации только доверенными IP-адресами. Это временная мера, но она лучше, чем оставлять дверь открытой.
- Следите за «призрачными» сеансами: Внимательно отслеживайте аномальную активность сеансов или одновременные входы в систему, которые не соответствуют типичным привычкам ваших пользователей.
Устойчивость этой угрозы обусловлена огромным количеством неисправленных систем, все еще подключенных к интернету. Поскольку эксплойт легко выполнить, а выгода — полный перехват сеанса — очень высока, это главная цель для киберпреступников.
Реальность такова, что пока каждый уязвимый экземпляр не будет обновлен, риск остается крайне высоким. Если вы еще не проверили свою среду, считайте это сигналом к действию. Относитесь к CVE-2025-5777 как к критической угрозе целостности вашей внутренней сети. Не ждите уведомления о взломе — обеспечьте безопасность своей инфраструктуры прямо сейчас.
