CitrixBleed 2 Açığına Ait Saldırı Kodları Yayınlandı, Kurumlar Hedefte

Citrix NetScaler cihazlarında keşfedilen kritik bir güvenlik açığına ait saldırı kodları kamuoyuyla paylaşıldı. CVE-2025-5777 koduyla izlenen ve CitrixBleed 2 olarak adlandırılan bu açık, sistem belleğinden kullanıcı oturum bilgilerini sızdırabilecek kadar tehlikeli bir tehdit oluşturuyor.

Açık, Giriş Talebi Üzerinden Bellek Sızıntısına Neden Oluyor

Citrix NetScaler ADC ve Gateway cihazlarını etkileyen güvenlik açığı, saldırganların özel hazırlanmış POST istekleri ile sistem belleğine erişmesine yol açıyor. Araştırmacılar, sadece oturum açma sırasında login parametresinin hatalı şekilde gönderilmesinin bile bellekteki hassas verileri dışarı sızdırmaya yettiğini ortaya koydu.

watchTowr ve Horizon3 araştırma ekiplerinin teknik analizlerine göre saldırı, login= parametresi eksik bırakılarak yapılan bir POST isteğiyle gerçekleşiyor. Bu sırada cihaz, yanıt mesajı içerisinde bellekteki verileri gösterebiliyor. Bu durum, snprintf fonksiyonunun %.*s formatıyla yanlış kullanılması sonucu oluşuyor.

Horizon3 ekibi, saldırganların bu açıklıktan yararlanarak her HTTP isteğinde yaklaşık 127 baytlık veri çekebildiğini belirtiyor. Bu yöntem, tekrar eden isteklerle cihaz belleğinde yer alan oturum belirteçlerinin veya diğer hassas verilerin ele geçirilmesini kolaylaştırıyor.

Citrix ise hâlen bu açığın aktif olarak istismar edilmediğini söylüyor. Ancak ReliaQuest adlı siber güvenlik firması, haziran ayında artan kullanıcı oturumu kaçırma olaylarına dikkat çekerek açığın bazı saldırılarda kullanılmış olabileceğini raporladı. Güvenlik araştırmacısı Kevin Beaumont da açıklamanın aksine istismarın haziran ortasından beri devam ettiğini ve sistem kayıtlarında bunu doğrulayan izler bulunduğunu belirtiyor. Beaumont, özellikle aşağıdaki sistem günlüklerinin dikkate alınması gerektiğini vurguladı:

• Her POST isteğinde 126 bayt RAM sızıntısı,
• doAuthentication.do adresine yapılan ve Content-Length: 5 içeren istekler,
• Kullanıcı kayıtlarında *LOGOFF* satırlarında kullanıcı adında # sembolü geçen ifadeler

Beaumont, bu belirtileri sadece teknik raporlardan haberdar olduktan sonra tespit edebildiğini, Citrix’in kullanıcıları yeterince bilgilendirmediğini savundu.

Citrix, CVE-2025-5777 numaralı açığa karşı güvenlik yamalarını kullanıma sundu. Ancak kamuya açık saldırı kodlarının paylaşılması nedeniyle tehdit seviyesi artmış durumda. Şirket, sistem yöneticilerinden tüm etkin ICA ve PCoIP oturumlarını sonlandırmalarını öneriyor fakat öncesinde olağandışı oturum etkinliklerinin kontrol edilmesini tavsiye ediyor.

Açık yalnızca uç noktaları değil, yönetimsel yapılandırma panellerini de etkileyebileceği için sistem güncellemelerinin gecikmeden yapılması gerekiyor.