nakajimeeee Twitter Update !

博主： nakajimeeee

推文： 【内存泄漏漏洞】Citrix NetScaler新发现重大漏洞CVE-2025-5777，已确认在实际环境中被利用。该漏洞与2023年震惊全球的CitrixBleed（CVE-2023-4966）极为相似，允许非法读取内存。

漏洞的根源在于认证处理中C语言的典型初始化不足。在登录表单中无等号（=）发送login参数时，未初始化的栈内存内容会泄漏。具体表现为，XML响应中的标签本应为空的地方显示了任意的内存内容。这一行为源于使用%.*s格式化字符串的snprintf函数输出了直到空字节的内存内容。

验证中发现，在User-Agent头部插入特定字符串并重复发送请求，该字符串会作为内存泄漏返回。在生产环境中，VPN连接已建立的情况下，可能会泄漏更高机密性的信息。Citrix在修复补丁中增加了& 0x10标志检查，但许多用户仍未应用补丁，CitrixBleed的噩梦可能再次上演。

https://t.co/7b8F1jswip

链接： https://x.com/nakajimeeee/status/1941903360078361050