Suivi KEV › Citrix

CVE-2025-6543 Citrix NetScaler ADC et Gateway : dépassement de tampon

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 30 juin 2025.

  • Produit : Citrix NetScaler ADC and Gateway
  • Ajoutée au catalogue : 30 juin 2025
  • Échéance CISA : 21 juillet 2025
  • Rançongiciels : pas d’usage connu
  • Faiblesse : CWE-119
  • Gravité : CVSS 9,2 (critique)
  • Probabilité d’exploitation (EPSS) : 10 %
  • Technologie : Citrix

Citrix NetScaler ADC et Gateway contiennent une vulnérabilité de dépassement de tampon entraînant un flux de contrôle non intentionnel et un déni de service. NetScaler doit être configuré comme Gateway (serveur virtuel VPN, proxy ICA, CVPN, proxy RDP) OU serveur virtuel AAA.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur, suivre les directives BOD 22-01 applicables pour les services cloud, ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · support.citrix.com · netscaler.com

Gravité et exploitation

  • Score CVSS 4.0 : 9,2 sur 10, gravité critique CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : 10,4 %, parmi les 4 % de CVE les plus susceptibles d’être exploitées

Versions concernées

  • netscaler application delivery controller : versions ≥ 13.1 et < 13.1-37.236
  • netscaler application delivery controller : versions ≥ 13.1 et < 13.1-59.19
  • netscaler application delivery controller : versions ≥ 14.1 et < 14.1-47.46
  • netscaler gateway : versions ≥ 13.1 et < 13.1-59.19
  • netscaler gateway : versions ≥ 14.1 et < 14.1-47.46

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Dépassement de tampon (CWE-119) : Le produit effectue des opérations sur un tampon mémoire, mais lit ou écrit dans une zone mémoire en dehors de la limite prévue du tampon.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Citrix NetScaler ADC and Gateway Buffer Overflow Vulnerability

Citrix NetScaler ADC and Gateway contain a buffer overflow vulnerability leading to unintended control flow and Denial of Service. NetScaler must be configured as Gateway (VPN virtual server, ICA Proxy, CVPN, RDP Proxy) OR AAA virtual server.

Required action: Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

Autres failles exploitées de Citrix NetScaler ADC and Gateway

  • CVE-2025-5777 — Citrix NetScaler ADC et Gateway : vulnérabilité de lecture hors limites (10 juillet 2025)

← Toutes les failles Citrix · Suivi KEV