【误差通告】NetScaler内存溢出远程代码执行误差(CVE-2025-7775)

宣布时间 2025-08-27

一、误差概述


误差名称

NetScaler内存溢出远程代码执行误差

CVE   ID

CVE-2025-7775

误差类型

RCE

发明时间

2025-08-27

误差评分

9.2

误差品级

严重

攻击向量

网络

所需权限

无

使用难度

高

用户交互

不需要

PoC/EXP

未果真

在野使用

已发明


NetScaler ADC（前称Citrix ADC）和NetScaler Gateway（前称Citrix Gateway）是由Citrix公司提供的高性能应用交付和远程会看法决计划。NetScaler ADC旨在优化应用性能、提高可用性并增强清静性，普遍用于负载平衡、内容缓存和应用加速等领域。NetScaler Gateway则专注于为远程用户提供清静的虚拟专用网络（VPN）会见，支持多因素认证和单点登录（SSO）等功效。两者都能够资助企业在包管应用交付效率的同时，确保数据传输和用户会见的清静性。


2025年8月27日，尊龙凯官网入口集团VSRC监测到NetScaler ADC和NetScaler Gateway保存内存溢出远程代码执行误差(CVE-2025-7775)。攻击者可通过结构特制请求触发内存溢出，从而执行恣意代码或导致系统瓦解，严重威胁营业一连性与数据清静。该误差影响设置为网关（VPN虚拟服务器、ICA Proxy、CVPN、RDP Proxy）或AAA虚拟服务器的装备；同时也影响运行13.1、14.1、13.1-FIPS和NDcPP版本的NetScaler，在以下任一条件下均保存危害：①负载平衡（LB）虚拟服务器类型为HTTP、SSL或HTTP_QUIC，且绑定IPv6服务或与IPv6服务器的服务组；②LB虚拟服务器绑定DBS IPv6服务或与IPv6 DBS服务器的服务组；③设置为HDX类型的CR虚拟服务器。


二、影响规模


13.1 <= NetScaler ADC\NetScaler Gateway < 13.1-59.22
14.1 <= NetScaler ADC\NetScaler Gateway < 14.1-47.48
13.1-FIPS <= NetScaler ADC\NetScaler Gateway < 13.1-37.241
13.1-NDcPP <= NetScaler ADC\NetScaler Gateway < 13.1-37.241
12.1-FIPS <= NetScaler ADC\NetScaler Gateway < 12.1-55.330
12.1-NDcPP <= NetScaler ADC\NetScaler Gateway < 12.1-55.330。


三、清静步伐


3.1 升级版本


官方已宣布清静补丁，升级至如下版本。
NetScaler ADC\NetScaler Gateway >= 14.1-47.48
NetScaler ADC\NetScaler Gateway >= 13.1-59.22
NetScaler ADC\NetScaler Gateway (13.1-FIPS) >= 13.1-37.241
NetScaler ADC\NetScaler Gateway (13.1-NDcPP) >= 13.1-37.241
NetScaler ADC\NetScaler Gateway (12.1-FIPS) >= 12.1-55.330
NetScaler ADC\NetScaler Gateway (12.1-NDcPP) >= 12.1-55.330
NetScaler ADC / Gateway 12.1 通俗版与 13.0 全系列已抵达生命周期终止（EOL），不再提供清静补丁，建议直接升级至受支持的清静版本，并优先思量升级到 14.1 系列及以上版本，以获得恒久支持和最新清静修复。


3.2 暂时步伐


管理员可通过在 NetScaler 设置中搜索以下下令，确认装备是否处于受影响状态：
检查 AAA 虚拟服务器（Auth Server）
show run | grep "add authentication vserver"
若发明设置了 AAA 虚拟服务器，且目今未使用，建议暂时禁用。
检查 Gateway（VPN / ICA Proxy / CVPN / RDP Proxy）
show run | grep "add vpn vserver"
如未使用 VPN 功效，建议暂时关闭相关虚拟服务器或限制会见。
检查负载平衡（LB）虚拟服务器绑定 IPv6 服务
show run | grep "add lb vserver"
show run | grep "add serviceGroup"
show run | grep "add server"
重点排查 HTTP、SSL、HTTP_QUIC 类型的 LB 虚拟服务器，若绑定 IPv6 服务或 IPv6 服务组，保存受攻击危害。
检查绑定 DBS IPv6 服务或服务器
show run | grep "add server .* -queryType AAAA"
show run | grep "bind servicegroup"
如不需要 IPv6 DBS 剖析服务，建议连忙解绑或禁用。
检查 CR 虚拟服务器（HDX 类型）
show run | grep "add cr vserver"
若未使用 HDX 类型 CR 虚拟服务器，可暂时禁用。
关于未使用的 AAA、VPN、ICA Proxy、CVPN、RDP Proxy、HDX 类型 CR 虚拟服务器等高危害设置，建议连忙禁用：
disable vpn vserver
disable authentication vserver
disable cr vserver
解绑或禁用 IPv6 服务
若营业允许，可在受影响的 LB 虚拟服务器上解绑 IPv6 服务或关闭 IPv6 功效：
unbind serviceGroup
set ns param -ipv6 DISABLED
限制外部会见
在防火墙、WAF 或 ACL 中限制对受影响装备的公网会见，仅允允许信管理 IP 段。
建议优先通过内网或 VPN 清静通道管理装备。
启用清静日志监控
开启 NetScaler 清静日志功效，重点监控异常请求、IPv6 绑定挪用等可疑行为。
配合 SIEM / IDS / NDR 工具，实时检测潜在攻击迹象。


3.3 通用建议


? 按期更新系统补丁，镌汰系统误差，提升服务器的清静性。
? 增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面。
? 使用企业级清静产品，提升企业的网络清静性能。
? 增强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度。
? 启用强密码战略并设置为按期修改。


3.4 参考链接


https://support.citrix.com/support-home/kbsearch/article?articleNumber=CTX694938/
https://nvd.nist.gov/vuln/detail/CVE-2025-7775