BSI - Bundesamt für Sicherheit in der Informationstechnik - Version 1.1: Citrix NetScaler ADC & NetScaler Gateway - Kritische Sicherheitslücken geschlossen und teils aktiv ausgenutzt
Navigation und Service
Springe direkt zu:
Inhalt
Hauptmenü
Suche
Menü
Menü
Servicemenü
Servicemenue
Kontakt
English
Gebärdensprache
Leichte Sprache
Nutzungsbedingungen
Login
Hauptmenü
Das BSI
Das BSI
Cybernation Deutschland
Auftrag
Organisation und Aufbau
Leitbild
Zeitstrahl
BSI Standorte
Umwelterklärung
Themen
Alle Themen
Staat und Verwaltung
Unsere Top-Themen
Nationales IT-Lagezentrum
CERT-Bund
Zusammenarbeit mit Bund und Ländern
Sicherheitsberatung
Mindeststandards Bund
Alle Themen
Unternehmen und Organisationen
Unsere Top-Themen
Cyber Resilience Act
Grundschutz in der Informationssicherheit
Threat Intelligence
IT-Sicherheitskennzeichen
Zertifzierung, Kennzeichnung und Anerkennung
Alle Themen
Verbraucherinnen und Verbraucher
Unsere Top-Themen
Sicherheit beim Onlineshopping
Online-Account absichern
Bedrohungen durch Cyber-Kriminelle
E-Mail, Social Media, Messenger und Co.
Smart Metering & Ladeinfrastruktur
Alle Themen
Regulierte Wirtschaft
Unsere Top-Themen
NIS-2-regulierte Unternehmen
Kritische Infrastrukturen (KRITIS)
KRITIS-FAQ
Alle Themen
IT-Sicherheitsvorfall
IT-Sicherheitsvorfall
Verbraucherinnen und Verbraucher
Unternehmen
Kritische Infrastrukturen und meldepflichtige Unternehmen
CVD-Richtlinie des BSI
Karriere
Karriere
Willkommen im #TeamBSI
Warum BSI?
Arbeiten im BSI
Einstieg
FAQ
Stellenangebote
Termine
Kontakt Personalgewinnung
Service
Service
Presse
Mediathek
Publikationen
Newsletter und Social Media
Veranstaltungen
Vergaben an Externe
Die E-Rechnung im BSI
Kosten für Leistungen des BSI
Kontakt
Fragen & Antworten
BSI-Portal
<abbr title="Bundesamt für Sicherheit in der Informationstechnik">BSI</abbr>-Portal
SucheOeffnen
Suche
Suche
Häufig gesucht
Regulierung nach NIS-2
Gefährdungen durch Ransomware
Zertifizierung Produkte & Personen (FAQ)
Zertifizierung Common Criteria
Elektronische Identitäten
Digitaler Verbraucherschutz
Technische Richtlinien
Kritische Infrastrukturen
Künstliche Intelligenz
Sie sind hier:
Zur Startseite
Version 1.1: Citrix NetScaler ADC & NetScaler Gateway - Kritische Sicherheitslücken geschlossen und teils aktiv ausgenutzt
Version 1.1: Citrix NetScaler ADC & NetScaler Gateway - Kritische Sicherheitslücken geschlossen und teils aktiv ausgenutzt
Kritikalität 2
BeschreibungIm Verlauf des Juni 2025 veröffentlichte der IT-Hersteller Citrix mehrere Patches für insgesamt drei Sicherheitslücken in seinem Application Delivery Controller NetScaler ADC und NetScaler Gateway – vormals Citrix ADC. Die Verwundbarkeiten weisen dabei unterschiedliche Schweregrade gemäß Common Vulnerability Scoring System (CVSS; 4.0) auf:
CVE-2025-6543 wurde mit 9.2 ("kritisch") bewertet und führt zu einem unbeabsichtigtem Kontrollfluss und Denial-of-Service Zustand. Hervorgerufen wird die Schwachstelle durch fehlende Kontrolle über Speichergrenzen bei Pufferoperationen (CWE-119).CVE-2025-5777 wurde mit 9.3 ("kritisch") bewertet. Die Schwachstelle besteht in einer unzureichenden Eingabevalidierung, die zu Speicherüberauslesung (CWE-125) führt.CVE-2025-5349 wurde mit 8.7 ("hoch") bewertet und betrifft eine unzureichende Zugriffskontrolle (CWE-284) auf die NetScaler-Verwaltungsschnittstelle.
Zur Ausnutzung der Schwachstellen CVE-2025-6543 und CVE-2025-5777 muss NetScaler als Gateway (VPN virtual server, ICA Proxy, Clientless VPN (CVPN), RDP Proxy) oder AAA Virtual Server konfiguriert sein. Diese Konfiguration ist jedoch üblich.
Das Advisory zu CVE-2025-5349 und CVE-2025-5777 gab der Hersteller am 17. Juni 2025 heraus. Auf CVE-2025-6543 wies Citrix jedoch erst am 25. Juni 2025 hin. Gleichzeitig machte das Unternehmen bekannt, dass letztere Schwachstelle bereits aktiv ausgenutzt wird und somit auch die Patches aus der Vorwoche nochmals auf neue Versionen aktualisiert werden müssen, um einen vollständigen Schutz gegen die momentan bekannten Sicherheitslücken zu erreichen.
Update 1: Bereits Ende Juni veröffentlichte ReliaQuest einen Blogbeitrag zu einer möglichen beobachteten Ausnutzung von CVE-2025-5777. Nach dem Erscheinen von technischen Details sowie einem Proof-of-Concept Exploit durch watchTowr Labs sowie Horizon3.ai häufen sich die Medienberichte über aktive Ausnutzungen. Demnach scheinen aktive Ausnutzungen von CVE-2025-5777 bereits seit Mitte Juni 2025 stattzufinden. Betreiber von NetScaler sollten daher prüfen, ob eine Kompromittierung (bereits vor dem Patchen) stattgefunden hat.
Publikationen
Download Version 1.1: Citrix NetScaler ADC & NetScaler Gateway - Kritische Sicherheitslücken geschlossen und teils aktiv ausgenutzt (PDF)
Fußbereich
Seite drucken
Unternavigation aller Website-Bereiche
Themen
Verbraucherinnen und Verbraucher
Unternehmen und Organisationen
Staat und Verwaltung
Regulierte Wirtschaft
Das BSI
Leitbild
Organisation und Aufbau
BSI Standorte
Auftrag
Kontakt
Karriere
Arbeiten im BSI
Stellenangebote
Studium und Ausbildung
IT-Sicherheitsvorfall
IT-Sicherheitsvorfall
Folgen Sie uns
Das BSI auf Bluesky
BSI-Instagram
Das BSI auf LinkedIn
Das BSI auf Mastodon
Newsletterverwaltung
Das BSI auf YouTube
Das BSI auf Xing
RSS
Impressum
Datenschutz
Nutzungsbedingungen
Barrierefreiheit
© Bundesamt für Sicherheit in der Informationstechnik
Top
Top
Hinweis zur Verwendung von Cookies
Das BSI speichert keine personenbezogenen Daten der Webseitenbesucher. Details in unserer Datenschutzerklärung
OK