Vulnerabilidades críticas en NetScaler ADC y NetScaler Gateway

Citrix ha identificado tres vulnerabilidades críticas que afectan a sus productos NetScaler ADC y NetScaler Gateway. Estas vulnerabilidades, identificadas como CVE-2025-5777, CVE-2025-5349 y CVE-2025-6543, pueden permitir desde la lectura no autorizada de memoria hasta la denegación de servicio en los dispositivos afectados.

CVE-2025-5777 – CVSS 9.3 (CRÍTICA): Esta vulnerabilidad se debe a una validación insuficiente de entradas que provoca una sobrelectura de memoria cuando NetScaler está configurado como Gateway (servidor virtual VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA. Esto podría permitir a un atacante remoto no autenticado acceder a información sensible almacenada en memoria.

CVE-2025-5349 – CVSS 8.7 (ALTA): Se trata de un control de acceso inadecuado en la interfaz de administración de NetScaler, específicamente en NetScaler ADC y NetScaler Gateway. Un atacante con acceso a la IP de servicios de red (NSIP), IP de administración de clúster o IP local de GSLB podría explotar esta vulnerabilidad para obtener acceso no autorizado a la interfaz de administración.

CVE-2025-6543 – CVSS 9.2 (CRÍTICA): Esta vulnerabilidad está siendo activamente explotada y puede ser desencadenada por solicitudes remotas no autenticadas, llevando a los dispositivos afectados a un estado de denegación de servicio (DoS), haciéndolos inaccesibles.

Productos, versiones afectadas y corregidas:

ProductosVersiones afectadasVersiones corregidas
NetScaler Gateway
NetScaler ADC		14.1 anteriores a 14.1-47.46
13.1 anteriores a 13.1-59.19		14.1-47.46 y versiones posteriores. 13.1-59.19 y versiones posteriores de la rama 13.1.
NetScaler ADC FIPS y NDcPP13.1-FIPS anteriores a 13.1-37.23613.1-37.236 y versiones posteriores de estas ediciones.

Recomendaciones:

  • Aplicar de inmediato los parches oficiales proporcionados por el fabricante.
  • Implementar segmentación de red para restringir el acceso a interfaces administrativas solo a redes confiables.
  • Monitorear los registros del sistema para detectar actividades inusuales que puedan indicar intentos de explotación.

Referencias: