Citrix Bleed 2: Προστέθηκε στον Κατάλογο KEV της CISA

Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) εξέδωσε νέα ειδοποίηση για μια κρίσιμη ευπάθεια σε Citrix NetScaler ADC και Gateway (Citrix Bleed 2), η οποία κατατάσσεται πλέον στον επίσημο κατάλογο «Γνωστών Εκμεταλλευόμενων Ευπαθειών» (KEV). Το CVE-2025-5777 ήδη αξιοποιείται ενεργά από απειλητικούς παράγοντες, επιτρέποντας την παράκαμψη ελέγχου ταυτότητας και την εκτέλεση άλλων κακόβουλων ενεργειών.

Η ευπάθεια –με βαθμολογία CVSS 9.3– προκύπτει από ανεπαρκή επικύρωση εισόδου και επηρεάζει συσκευές που λειτουργούν ως Gateway ή AAA virtual servers. Παρότι η Citrix δεν έχει ακόμη αναγνωρίσει επίσημα ενεργές επιθέσεις που αξιοποιούν το κενό, ανεξάρτητοι ερευνητές ασφαλείας –μεταξύ αυτών ο Kevin Beaumont– κατέγραψαν δραστηριότητα από τα μέσα Ιουνίου, με τουλάχιστον μία IP διεύθυνση να συνδέεται με το διαβόητο ransomware group RansomHub.

Δείτε επίσης: Η CISA πρόσθεσε τέσσερις ευπάθειες στον Κατάλογο KEV

Ταυτόχρονα, δεδομένα από την GreyNoise δείχνουν προσπάθειες εκμετάλλευσης από 10 μοναδικές κακόβουλες διευθύνσεις IP που βρίσκονται στη Βουλγαρία, τις Ηνωμένες Πολιτείες, την Κίνα, την Αίγυπτο και τη Φινλανδία. Οι κύριοι στόχοι αυτών των προσπαθειών είναι οι Ηνωμένες Πολιτείες, η Γαλλία, η Γερμανία, η Ινδία και η Ιταλία.

Η ευπάθεια Citrix Bleed 2 επιτρέπει σε εισβολείς να διαβάζουν ευαίσθητα δεδομένα από τη μνήμη της συσκευής – χωρίς να αφήνουν παραδοσιακά ίχνη, όπως malware ή exploit artifacts. Το φαινόμενο αυτό, που θυμίζει έντονα την παλαιότερη ευπάθεια Citrix Bleed (CVE-2023-4966), χαρακτηρίζεται από συνεχή διαρροή περιεχομένου μνήμης, κάθε φορά που αποστέλλεται το ίδιο payload.

Σύμφωνα με την Akamai, αυτή η «διαρροή» αφορά σε στοιχεία όπως session tokens, πιστοποιητικά, διαπιστευτήρια, τα οποία μπορούν να χρησιμοποιηθούν για τη διείσδυση σε εσωτερικά δίκτυα, VPNs, cloud dashboards και SSO portals. Αυτό είναι ιδιαίτερα επικίνδυνο σε περιβάλλοντα χωρίς ισχυρή εσωτερική τμηματοποίηση, καθώς επιτρέπει πλευρική κίνηση του εισβολέα με ταχύτητα και ακρίβεια.

Δείτε επίσης: Η CISA προειδοποιεί για δύο νέες ευπάθειες TeleMessage

Άμεσες ενέργειες για mitigation – Πέρα από το patching

Η Citrix προσφέρει διορθωτικές ενημερώσεις από τις 17 Ιουνίου, συνιστώντας τη μετάβαση στην έκδοση 14.1-43.56 ή νεότερη. Μετά την ενημέρωση, όλες οι ενεργές συνεδρίες (ειδικά οι AAA ή Gateway) θα πρέπει να τερματιστούν αναγκαστικά για να ακυρωθούν τυχόν κλεμμένα tokens.

Παράλληλα, οι ομάδες ασφαλείας καλούνται να αναλύσουν προσεκτικά τα αρχεία καταγραφής (π.χ. ns.log) για ύποπτες κλήσεις στα endpoints, όπως /p/u/doAuthentication.do. Θα πρέπει, επίσης, να εντοπίσουν ανεξήγητες αποκρίσεις XML που περιέχουν πεδία όπως <InitialValue> — πιθανή ένδειξη παραβίασης μέσω memory overread.

Η υπηρεσία συνιστά την τακτική παρακολούθηση του KEV καταλόγου και την άμεση εφαρμογή patches, ενώ οι ειδικοί επισημαίνουν ότι η αμυντική στρατηγική δεν μπορεί να βασίζεται μόνο στα τεχνικά μέτρα, αλλά απαιτεί και εκπαίδευση προσωπικού καθώς και πρακτικές ελαχιστοποίησης του attack surface.

Ο κατάλογος KEV της CISA είναι πολύ χρήσιμος για τους οργανισμούς σε όλο τον κόσμο που θέλουν να μαθαίνουν για τις νέες απειλές και ενδιαφέρονται για την καλύτερη διαχείριση ευπαθειών και την ιεράρχηση προτεραιοτήτων.

Δείτε επίσης: Η CISA πρόσθεσε ευπάθεια του Linux kernel στον Κατάλογο KEV

Γενικά, η CISA βοηθά πολύ στην προστασία και την αντιμετώπιση των απειλών κυβερνοασφάλειας. Ο οργανισμός αυτός συνεργάζεται με διάφορους τομείς, όπως οι ιδιωτικές επιχειρήσεις, οι κυβερνήσεις των πολιτειών και οι τοπικές αρχές, για να βελτιώσει την ασφάλεια των ψηφιακών συστημάτων.

Παρέχει πληροφορίες και εργαλεία για να βοηθήσει τους οργανισμούς να προστατεύσουν τα δίκτυά τους από κυβερνοεπιθέσεις και να αντιμετωπίσουν τυχόν επιθέσεις που μπορεί να συμβούν. Επιπλέον, ενημερώνει το κοινό για τυχόν ευάλωτα σημεία στα συστήματα και τις εφαρμογές που χρησιμοποιούνται ευρέως. Συνολικά, ο ρόλος της CISA είναι ζωτικής σημασίας για την προστασία των ψηφιακών υποδομών των ΗΠΑ αλλά και άλλων περιοχών.

Πηγή: thehackernews.com