Citrix ha lanzado actualizaciones de seguridad para abordar una falla crítica que afecta a NetScaler ADC y que, según afirma, ha sido explotada ilegalmente.
La vulnerabilidad, identificada como CVE-2025-6543 , tiene una puntuación CVSS de 9,2 sobre un máximo de 10,0.
Se ha descrito como un caso de desbordamiento de memoria que podría provocar un flujo de control no deseado y una denegación de servicio. Sin embargo, para una explotación exitosa, es necesario configurar el dispositivo como puerta de enlace (servidor virtual VPN, proxy ICA, CVPN, proxy RDP) o servidor virtual AAA.
La deficiencia afecta a las siguientes versiones:
- NetScaler ADC y NetScaler Gateway 14.1 anteriores a 14.1-47.46
- NetScaler ADC y NetScaler Gateway 13.1 anteriores a 13.1-59.19
- NetScaler ADC y NetScaler Gateway 12.1 y 13.0 (vulnerables y al final de su vida útil)
- NetScaler ADC 13.1-FIPS y NDcPP anterior a 13.1-37.236-FIPS y NDcPP
«Las implementaciones locales de Secure Private Access o de Secure Private Access Hybrid que utilizan instancias de NetScaler también se ven afectadas por las vulnerabilidades», afirmó Citrix.
Los clientes deben actualizar estas instancias de NetScaler a las compilaciones recomendadas para solucionar las vulnerabilidades.
La compañía no reveló cómo se está explotando la falla en ataques del mundo real, pero dijo que «se han observado exploits de CVE-2025-6543 en dispositivos no mitigados».
La revelación llega poco después de que Citrix parcheara otra falla de seguridad de clasificación crítica en NetScaler ADC ( CVE-2025-5777 , puntaje CVSS: 9.3) que podría ser explotada por actores de amenazas para obtener acceso a dispositivos susceptibles.
Fuente y redacción: thehackernews.com
