CitrixBleed 2: La nueva vulnerabilidad que pone en alerta a miles de servidores
El mundo de la ciberseguridad nunca duerme. Justo cuando pensábamos que ya habíamos aprendido la lección con el primer CitrixBleed, nos encontramos con su «secuela» no oficial. Los investigadores de seguridad acaban de publicar información técnica y código de explotación que apunta directamente a una vulnerabilidad crítica en Citrix NetScaler que, aunque ya cuenta con parche, sigue representando una amenaza considerable.
¿Qué es exactamente CVE-2025-5777?
Esta vulnerabilidad, catalogada con una puntuación CVSS de 9.3 (casi en lo más alto de la escala de gravedad), afecta a los productos NetScaler ADC y NetScaler Gateway cuando están configurados como gateway o servidor virtual AAA. El problema técnico radica en una validación de entrada insuficiente que puede provocar lecturas de memoria fuera de límites.
En cristiano: permite a un atacante leer partes de la memoria del servidor que no debería poder ver, potencialmente accediendo a información confidencial como tokens de sesión de usuarios.
La cronología de un desastre anunciado
La historia de esta vulnerabilidad sigue el patrón clásico que vemos una y otra vez en ciberseguridad:
- 17 de junio: Citrix lanza los parches para solucionar el problema
- Una semana después: La firma ReliaQuest advierte de señales de explotación activa
- Finales de junio: El investigador Kevin Beaumont bautiza el fallo como «CitrixBleed 2» y estima más de 50.000 instancias de NetScaler potencialmente afectadas
- 5 de julio: La empresa watchTowr publica un análisis detallado sobre cómo explotar la vulnerabilidad
- 8 de julio: Horizon3.ai revela información técnica adicional, demostrando cómo su exploit puede extraer tokens de sesión de usuarios
Mientras tanto, Citrix ha disputado las comparaciones con el CitrixBleed original (CVE-2023-4966) que causó estragos hace dos años, aunque insiste en que los clientes deben actualizar sus sistemas lo antes posible.
Cómo funciona el ataque y por qué es preocupante
Lo que hace particularmente peligrosa esta vulnerabilidad es su relativa simplicidad de explotación. Tanto watchTowr como Horizon3.ai han confirmado que el problema afecta al punto de autenticación de NetScaler y puede activarse mediante solicitudes de inicio de sesión incorrectas.
Cada vez que se envía una solicitud malformada, el servidor responde revelando fragmentos de su memoria. Con suficientes solicitudes repetidas, un atacante puede recopilar suficientes datos para comprometer la seguridad del sistema.
¿Por qué los tokens de sesión son tan valiosos?
Cuando un hacker consigue tokens de sesión válidos, básicamente obtiene las llaves del reino. No necesita conocer contraseñas ni superar ninguna otra barrera de seguridad – simplemente puede asumir la identidad de usuarios legítimos y acceder a todos los sistemas a los que ellos tengan acceso.
En entornos empresariales donde NetScaler se utiliza frecuentemente como puerta de entrada a sistemas críticos, esto podría significar acceso a:
- Infraestructuras internas
- Aplicaciones corporativas sensibles
- Datos de clientes y empleados
- Información financiera o propiedad intelectual
El panorama actual: miles de servidores siguen vulnerables
A pesar de las advertencias, los datos no son alentadores. Según The Shadowserver Foundation, al 7 de julio:
- Aproximadamente 1.000 instancias de NetScaler siguen sin parchear contra CVE-2025-5777
- Más de 2.200 permanecen vulnerables a CVE-2025-6543, otra falla crítica (CVSS 9.2) que ya está siendo explotada como zero-day
Y esto es especialmente preocupante porque, como ya vimos con el CitrixBleed original, los grupos de amenazas no pierden tiempo cuando se trata de explotar vulnerabilidades en productos ampliamente desplegados en infraestructuras críticas.
La disputa sobre la gravedad
Resulta curioso que Citrix haya intentado distanciarse de las comparaciones con el CitrixBleed original. Si atendemos a los detalles técnicos, ambos problemas comparten similitudes inquietantes:
- Afectan a componentes de autenticación
- Permiten la divulgación de información sensible
- Son relativamente sencillos de explotar
Que Citrix minimice estas similitudes parece más una estrategia de relaciones públicas que una evaluación técnica objetiva. Al final, para los administradores de sistemas, el mensaje es el mismo: actualizar urgentemente.
Medidas a tomar: más allá del parche
Si eres responsable de servidores NetScaler, ya deberías estar planificando (o mejor aún, ejecutando) la actualización a las versiones parcheadas:
- NetScaler ADC: versiones 14.1-43.56, 13.1-58.32, 13.1-FIPS, 13.1-NDcPP 13.1-37.235, y 12.1-FIPS 12.1-55.328
- NetScaler Gateway: versiones 14.1-43.56 y 13.1-58.32
Pero aplicar parches no debería ser tu única línea de defensa:
- Monitoriza activamente los logs: Busca patrones de solicitudes fallidas de autenticación repetitivas
- Revisa el tráfico de red: Identifica comportamientos anómalos en las comunicaciones con tus servidores NetScaler
- Considera implementar controles compensatorios: Como un WAF (Web Application Firewall) configurado para detectar patrones de explotación conocidos
- Realiza un análisis forense: Si sospechas que has sido comprometido, investiga posibles indicios de intrusión
La difusión de código de explotación funcional significa que cualquiera con conocimientos técnicos básicos ahora puede atacar sistemas vulnerables. En estos casos, cada día cuenta.
Este no es un simple fallo de seguridad más, sino otro ejemplo de cómo las vulnerabilidades en componentes de infraestructura crítica pueden poner en riesgo organizaciones enteras. La buena noticia es que la solución existe; la mala es que depende de cada organización implementarla a tiempo.
