Beschrijving

Citrix heeft bekendgemaakt dat er zich een ernstige kwetsbaarheid bevindt in NetScaler ADC (voorheen Citrix ADC) en NetScaler Gateway (voorheen Citrix Gateway) waarvan aanvallers op dit moment al actief misbruik maken. De kwetsbaarheid (CVE-2025-6543) betreft een “memory overflow” in systemen die geconfigureerd zijn als Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) of als AAA virtual server. Het betreft hier een andere kwetsbaarheid dan de kwetsbaarheid die vorige week werd verholpen. De patches die Citrix vorige week uitbracht, bieden dan ook geen bescherming tegen deze nieuwe kwetsbaarheid.

Aanvallers kunnen de kwetsbaarheid op afstand en zonder authenticatie misbruiken en hiermee een Denial-of-Service (DoS) of “unintended control flow” veroorzaken. Citrix geeft aan dat misbruik kan resulteren in volledige aantasting van de vertrouwelijkheid, integriteit en beschikbaarheid van een kwetsbaar apparaat. Wel geldt dat voor succesvol misbruik aan specifieke vereisten/condities moet zijn voldaan, maar welke dit zijn is niet bekendgemaakt.

Kwetsbare versies

De kwetsbaarheden bevinden zich in onderstaande versies van NetScaler ADC en NetScaler Gateway:

• NetScaler ADC en NetScaler Gateway 14.1 vóór versie 14.1-47.46
• NetScaler ADC en NetScaler Gateway 13.1 vóór versie 13.1-59.19
• NetScaler ADC 13.1-FIPS en NDcPP vóór versie 13.1-37.236-FIPS en NDcPP

Let op: versies 12.1 en 13.0 van NetScaler ADC en NetScaler Gateway zijn wel kwetsbaar, maar ook End-of-Life (EOL) en ontvangen hierdoor geen verdere updates. Klanten wordt dringend geadviseerd om te upgraden naar een ondersteunde versie. NetScaler ADC 12.1-FIPS is echter niet kwetsbaar.

Oplossingen en tijdelijke mitigaties

Citrix heeft nieuwe versies van NetScaler uitgebracht om deze kwetsbaarheden te verhelpen:

• NetScaler ADC en NetScaler Gateway 14.1-47.46 en latere versies
• NetScaler ADC en NetScaler Gateway 13.1-59.19 en latere versies
• NetScaler ADC 13.1-FIPS en 13.1-NDcPP 13.1-37.236 en latere versies

Let op: het installeren van de patches die Citrix op 17 juni 2025 uitbracht, biedt geen bescherming tegen deze nieuwe kwetsbaarheid.

Meer informatie

• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694788

Vragen

Voor vragen over deze security bulletin kunt u contact opnemen met het Pinewood Security Operations Center. Het SOC is bereikbaar via +31 (0)15 750 13 31 en via soc@pinewood.nl.

===== ENGLISH =====

Description

Citrix has announced a serious vulnerability in NetScaler ADC (formerly Citrix ADC) and NetScaler Gateway (formerly Citrix Gateway), which is currently being actively exploited by attackers. The vulnerability (CVE-2025-6543) is a memory overflow issue in systems configured as a Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) or as an AAA virtual server. Note that this is a different vulnerability from the one that was addressed last week. Therefore, the patches released by Citrix last week do not protect against this new vulnerability.

Attackers can exploit the vulnerability remotely and without authentication, potentially causing a Denial-of-Service (DoS) or “unintended control flow.” Citrix states that exploitation could result in a complete compromise of the confidentiality, integrity, and availability of a vulnerable device. However, successful exploitation requires certain specific conditions to be met, though these have not been disclosed.

Vulnerable versions

The vulnerabilities are present in the following versions of NetScaler ADC and NetScaler Gateway:

• NetScaler ADC and NetScaler Gateway 14.1 before version 14.1-47.46
• NetScaler ADC and NetScaler Gateway 13.1 before version 13.1-59.19
• NetScaler ADC 13.1-FIPS and NDcPP before version 13.1-37.236-FIPS and NDcPP

Note: Versions 12.1 and 13.0 of NetScaler ADC and NetScaler Gateway are also vulnerable but have reached End-of-Life (EOL) and therefore no longer receive updates. Customers are strongly advised to upgrade to a supported version. However, NetScaler ADC 12.1-FIPS is not vulnerable.

Solutions and workarounds

Citrix has released new versions of NetScaler to address these vulnerabilities:

• NetScaler ADC and NetScaler Gateway 14.1-47.46 and later versions
• NetScaler ADC and NetScaler Gateway 13.1-59.19 and later versions
• NetScaler ADC 13.1-FIPS and 13.1-NDcPP 13.1-37.236 and later versions

Note: Installing the patches released by Citrix on June 17, 2025, does not provide protection against this new vulnerability.

More information

• https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694788

Questions

For questions about this security bulletin, please contact the Pinewood Security Operations Center. The SOC can be contacted at +31 (0)15 750 13 31 and via soc@pinewood.nl.