「NetScaler ADC」「NetScaler Gateway」の新しい脆弱性で“あの悪夢”再びか

Citrix Systemsのネットワーク機器に危険な脆弱性が見つかった。セキュリティ専門家によると、Boeingも被害を受けた脆弱性「Citrix Bleed」と同等の危険性を持つ。その脅威の正体とは。

公開 2025年07月29日 06時01分

著者

Alex Scroxton

[TechTarget]

印刷する連載新着通知を受け取る

　セキュリティ専門家は、Citrix Systemsのアプリケーションデリバリーコントローラー（ADC）「NetScaler ADC」と、セキュアな通信を確立するゲートウェイ「NetScaler Gateway」の脆弱（ぜいじゃく）性「CVE-2025-5777」を悪用した攻撃について注意を呼び掛けている。ADCはアプリケーション配信を最適化するツール、ゲートウェイは異なるプロトコルによる通信を中継するツールだ。セキュリティ専門家によると、今回の脆弱性は、「Citrix Bleed」の名前で知られる脆弱性「CVE-2023-4966」と同等の危険性を持つ可能性がある。具体的には何が危険なのか。

あのCitrix Bleedと共通点も　だからCVE-2025-5777は危険

併せて読みたいお薦め記事

Citrixを巡る動きとは

　CVE-2025-5777は、入力値の不十分な検証に起因するものだ。NetScaler ADCとNetScaler Gatewayにおいて、メモリの過剰読み取り（メモリオーバーリード）を発生させる。攻撃者はCVE-2025-5777を悪用すれば、不正なリクエストを送信してメモリから有効なセッショントークンを窃取することで、認証を回避してシステムに入り込むことができる。共通脆弱性評価システム「CVSS」におけるCVE-2025-5777の評価は「緊急」（スコア9.3）だ。

　Citrix Systemsは2025年6月にCVE-2025-5777を修正してユーザー企業にパッチ（修正プログラム）を提供し、パッチを早急に適用することを推奨している。パッチ適用完了後、通信プロトコル「ICA」と「PCoIP」（PC over IP）のセッションを終了させるよう呼び掛けており、その手順を明示している。

Citrix Bleedの教訓

　セキュリティ専門家によると、CVE-2025-5777はCitrix Bleedと複数の共通点がある。Citrix BleedはCVE-2025-5777と同様、NetScaler ADCとNetScaler Gatewayの脆弱性だ。攻撃者は認証済みセッションを乗っ取り、多要素認証（MFA）を含む認証手段を迂回（うかい）することに悪用できた。

　Citrix Bleedは2023年10月に修正されたが、それ以前から攻撃に利用されていた。修正後も、ランサムウェア（身代金要求型マルウェア）攻撃集団「LockBit」をはじめとする複数のサイバー犯罪グループがCitrix Bleedを悪用し、航空機メーカー大手The Boeing Company（Boeing）など世界中の企業に被害を与えた。

　本稿執筆時点では、CVE-2025-5777について同様の攻撃は確認されていない。とはいえ、セキュリティ専門家はパッチ適用の緊急性を強調している。セキュリティアナリストのケビン・ボーモント氏はユーザー企業に対して、「自社が被害に遭わないためにも即時のパッチ適用が必要だ」と警告する。同氏はCVE-2025-5777を「Citrix Bleed 2」と呼ぶ。

　セキュリティベンダーwatchTowr創業者兼CEOのベンジャミン・ハリス氏はCVE-2025-5777について、公開された脆弱性情報から「幾つかの重要な事項が削除された」と指摘する。「特に、この脆弱性が『露出の少ない管理画面に限定される』という説明が削除されたことは、当初想定されていたよりも深刻な影響があることを示唆している」（同氏）

TechTarget.AIとは

TechTarget.AIは、TechTargetジャパンの記事の一部で生成AIを補助的に活用し、米国Informa TechTargetの記事を翻訳・編集して国内向けにお届けします。編集部による内容の確認を徹底しています。

印刷する

TechTarget.AI

TechTarget.AI編集部は生成AIなどのサービスを利用し、米国TechTargetの記事を翻訳して国内向けにお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

Alex Scroxton

米TechTargetの電子週刊誌『Computer Weekly』でセキュリティ分野の記事編集を手掛ける。同社の電子月刊誌『MicroScope』で記者を務めた後、2014年5月からComputer Weeklyの編集に従事。2003年、サセックス大学（University of Sussex）で社会人類学の学士号を取得している。