[TLP:CLEAR] Citrix opravuje kritickou zranitelnost

Citrix opravuje kritickou zranitelnost ve svých produktech [1]. Produkty a jejich opravené verze: NetScaler ADC: 13.1-59.19, 14.1-47.46, 13.1-37.236-FIPS, 13.1-37.236-NDcPP NetScaler Gateway: 13.1-59.19, 14.1-47.46

Citrix NetScaler ADC and NetScaler Gateway - DoS (CVE-2025-6543)
CVSS 9.2 (Critical)

Neautentizovanému vzdálenému útočníkovi je umožněno vykonat útok DoS, je-li produkt nakonfigurován jako Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) nebo jako AAA virtual server. Zranitelnost je již aktivně zneužívána a týká se také on-prem/Hybrid nasazení služby Secure Private Access [1].

Zranitelnost se nachází v produktech:

  • NetScaler ADC; >=12.1, <=12.1-65.39; >=13.1, <13.1-59.19; >=14.1, <14.1-47.46;
  • NetScaler ADC; >=13.1-FIPS, <13.1-37.236-FIPS;
  • NetScaler ADC; >=13.1-NDcPP, <13.1-37.236-NDcPP;
  • NetScaler Gateway; >=12.1, <=12.1-65.39; >=13.1, <13.1-59.19; >=14.1, <14.1-47.46;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

Více informací:

  • CVE-2025-6543 na cve.org, NVD
  • CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 25. 6. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dne 26. 6. 2025.

CESNET, z.s.p.o. Logo