Citrix mit teils kritischen Sicherheitslecks in Netscaler und Apps

close notice

This article is also available in English. It was translated with technical assistance and editorially reviewed before publication.

Don’t show this again.

Vor Sicherheitslücken in mehreren Produkten warnt Citrix aktuell. In Netscaler ADC und Gateway klafft etwa ein kritisches Sicherheitsleck, aber auch der Citrix Secure Access Client und die Workspace App für Windows weisen Schwachstellen auf. Citrix hat aktualisierte Software bereitgestellt, die die Lücken schließt.

In Netscaler ADC und Gateway können Angreifer auf nicht näher erläutertem Wege Speicherbereiche außerhalb vorgesehener Grenzen lesen, was auf unzureichende Prüfung von übergebenen Daten zurückgeht (CVE-2025-5777 / EUVD-2025-18497, CVSS 9.3, Risiko "kritisch"). Zudem nutzt das Netscaler Management Interface unzureichende Zugriffskontrollen und ermöglicht dadurch offenbar unbefugte Zugriffe (CVE-2025-5349 / EUVD-2025-18494, CVSS 8.7, Risiko "hoch"). Die Schwachstellen haben die Entwickler laut Sicherheitsmitteilung in den Versionen Netscaler ADC und NetScaler Gateway 14.1-43.56 sowie 13.1-58.32, Netscaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.235 sowie in Netscaler ADC 12.1-FIPS 12.1-55.328 ausgebessert. Auch Secure Private Access on-prem und Secure Private Access Hybrid-Instanzen sind verwundbar.

In einer weiteren Sicherheitswarnung beschreibt Citrix eine Lücke in Netscaler Console und SDX, durch die Angreifer beliebige Daten lesen können (CVE-2025-4365 / EUVD-2025-18493, CVSS 6.9, Risiko "mittel"). Netscaler Console 14.1.47.46 und 13.1.58.32 stopfen das Leck ebenso wie Netscaler SDX (SVM) 14.1.47.46 und 13.1.58.32.

Citrix-Windows-Apps angreifbar

Außerdem berichtet Citrix von einer Sicherheitslücke in Secure Access Client für Windows. Aufgrund unzureichender Rechteverwaltung können lokale Nutzer ihre Rechte zu SYSTEM ausweiten (CVE-2025-0320 / EUVD-2025-18498, CVSS 8.5, Risiko "hoch"). Wie bei den anderen Lücken erörtern die Entwickler nicht, wie das konkret zustande kommt und wie Angriffe aussehen können. Das Problem korrigiert jedoch Citrix Secure Access Client für Windows 25.5.1.15.

Schließlich klafft noch in der Citrix Workspace App für Windows eine Sicherheitslücke. Auch hier nennen die Entwickler nur allgmein eine unzureichende Rechteverwaltung, die Nutzern die Ausweitung ihrer Rechte auf SYSTEM ermöglichen (CVE-2025-4879 / EUVD-2025-18569, CVSS 7.3, Risiko "hoch"). Citrix Workspace App für Windows 2409, 2402 LTSR CU2 Hotfix 1 und 2402 LTSR CU3 Hotfix 1 bringen Fehlerkorrekturen zum Ausbessern der Schwachstelle mit.

Im Februar hatte Citrix zuletzt größere Sicherheitslücken etwa in Netscaler gemeldet. Auch da gab es Schwachstellen im Citrix Secure Access Client – allerdings war die Mac- und nicht wie jetzt die Windows-Version betroffen.

(dmk)