近年来，Citrix NetScaler ADC 与 Gateway 产品线持续爆发高危安全漏洞，已成为全球网络安全领域的核心关注对象。此类漏洞不仅 CVSS 评分普遍突破 9.0 阈值，更被多支高级威胁行为体积极武器化，引发多起重大安全事件。最新披露的 CVE-2025-7775 延续该高危态势，再度触发安全业界广泛警惕。

回溯 2019 年至今的漏洞轨迹，Citrix NetScaler 漏洞呈现明确技术演进路径：早期以目录遍历为代表的应用层漏洞，正逐步被内存泄露、内存溢出等复杂内存安全问题取代。这种演变不仅体现攻击者技术能力的迭代升级，更对防御方的技术储备与响应策略提出更高要求。

本文将以 CVE-2025-7775 漏洞为切入点，深度剖析其技术原理与安全影响，同时追溯 Citrix NetScaler 历史漏洞演化历程，解析高级威胁行为体利用此类漏洞的攻击链路，为安全从业者提供体系化技术参考。

2025 年 8 月 26 日，Cloud Software Group（思杰公司）官方披露三款影响 Citrix NetScaler ADC 与 NetScaler Gateway 的新漏洞，其中风险等级最高的为 CVE-2025-7775。该漏洞属于内存溢出类型，CVSS v4 评分达 9.2，可直接导致远程代码执行（RCE）及拒绝服务（DoS）攻击。目前已确认存在在野利用案例，且被美国网络安全与基础设施安全局（CISA）纳入 “已知被利用漏洞（KEV）” 目录。

CVE-2025-7775 官方定义为 “内存缓冲区操作范围限制不当” 漏洞，攻击者可通过该缺陷操控超出预期边界的内存区域，进而引发程序崩溃或执行任意代码。根据 CISA KEV 目录披露信息，该漏洞可支持远程代码执行，攻击者可在目标系统上部署恶意代码，实现数据窃取或恶意软件植入。

CVE-2025-7775 的核心风险点在于，NetScaler 系统处理特定网络请求时，对内存缓冲区操作的边界控制存在缺陷。尽管官方暂未公开漏洞相关代码，但结合同类漏洞的技术特征可推断，其可能存在以下三类问题：

与此前 CVE-2025-6543 类似，此类漏洞利用门槛较高，主要被国家背景攻击者或技术成熟的威胁组织用于定向攻击，暂未出现大规模滥用情况。

CVE-2025-7775 覆盖多类 NetScaler 配置场景，具体受影响版本如下：

此外，所有基于 NetScaler 实例部署的 Secure Private Access 环境均受该漏洞影响。

从安全危害维度看，CVE-2025-7775 具备以下关键特征：

针对 CVE-2025-7775 漏洞，Citrix 官方推荐采取以下缓解与修复措施：

      NetScaler ADC、NetScaler Gateway：升级至 14.1-47.48 及以上版本、13.1-59.22 及以上版本；

      NetScaler ADC 13.1-FIPS/13.1-NDcPP：升级至 13.1-37.241 及以上版本；

      NetScaler ADC 12.1-FIPS/12.1-NDcPP：升级至 12.1-55.330 及以上版本；

2019 年 12 月，Citrix 披露影响 NetScaler ADC 与 Gateway 的高危漏洞 CVE-2019-19781，CVSS 评分 9.8。该漏洞属于目录遍历类型，支持未经身份验证的远程攻击者在目标系统上执行任意代码。

漏洞根源在于 Perl 脚本 newbm.pl 中的路径验证逻辑缺陷。在漏洞代码中，UsersPrefs 模块直接从 NSC_USER HTTP 头提取数据构建文件路径，未执行任何过滤或校验操作，核心代码片段如下：

sub csd {
    my $username = Encode::decode('utf8',$ENV{'HTTP_NSC_USER'}) || errorpage("Missing NSC_USER header.");
    $self->{username} = $username;
    ...
    $self->{filename} = NetScaler::Portal::Config::c->{bookmark_dir} . Encode::encode('utf8',$username) . '.xml';
}

攻击者通过在 NSC_USER 头注入 “../../../netscaler/portal/templates/” 等路径遍历字符串，结合 XML 模板执行功能，可直接实现远程代码执行。该漏洞利用链路简短、技术门槛低，披露后短期内即出现大规模滥用。

荷兰国家网络安全中心（NCSC）已发布针对性检测脚本，协助组织排查入侵痕迹。据统计，该漏洞影响范围覆盖全球超 8 万台暴露于互联网的设备，漏洞披露一个月后仍有约 25% 的设备未完成修复。

2022 年 12 月，Citrix 披露 CVE-2022-27518 漏洞，该漏洞影响 NetScaler ADC 与 Gateway，CVSS 评分 9.8，支持未经身份验证的远程攻击者在特定配置设备上执行任意代码。

该漏洞存在明显场景限制，仅影响配置为 SAML SP 或 IdP 的 NetScaler 设备。目前官方未完全公开漏洞技术细节，但结合安全研究人员的逆向分析结果，推测漏洞根源在于 SAML 认证流程中对外部输入的处理逻辑存在缺陷。

2023 年 10 月，Citrix 披露 CVE-2023-4966 漏洞（俗称 “CitrixBleed”），该漏洞属于严重内存泄露类型，CVSS 评分 9.4，允许未经身份验证的远程攻击者从 NetScaler 设备内存中窃取会话令牌等敏感信息。

通过对比 NetScaler 未打补丁版本（13.1-48.47）与修复版本（13.1-49.15），研究人员发现核心差异在于 “ns_aaa_oauth_send_openid_config” 与 “ns_aaa_oauthrp_send_openid_config” 两个函数，修复版本在生成响应前新增了边界检查逻辑。该漏洞本质是对 snprintf 函数返回值的误用，导致内存越界读取，关键代码片段如下：

iVar3 = snprintf(print_temp_rule, 0x20000, "{\"issuer\": \"https://%.*s\", \"authorization_endpoint\": \"https://%.*s/oauth/idp/login\", \"token_endpoint\": \"https://%.*s/oauth/idp/token\", \"jwks_uri\": \"https://%.*s/oauth/idp/certs\", \"response_types_supported\": [\"code\", \"token\", ...

此处存在关键逻辑缺陷：snprintf 函数第二个参数 0x20000 仅用于限制存储到 print_temp_rule 变量的字符串长度（截取前 0x20000 字节），但其返回值为完整格式化后的字符串长度（未截取）。当 hostname 长度超出预期时，want_to_write_len 可能远超 0x20000，而后续 ns_vpn_send_response 函数直接使用该返回值作为长度参数，导致缓冲区外的内存数据被封装到响应中。

攻击者通过发送包含超长 Host 头的 HTTP GET 请求触发漏洞，从内存中窃取会话令牌，进而绕过多因素认证（MFA）。该攻击方式隐蔽性强，且可获取高价值认证凭证，已成为 LockBit 等高级威胁组织的首选初始访问手段。

漏洞主要影响以下两个 URL 端点：

研究人员通过数千次模拟测试确认，内存中存在 32-65 字节的十六进制字符串，该字符串即为会话 Cookie。获取该 Cookie 后，攻击者可直接劫持账户，无限制访问目标设备。

2025 年初，Citrix 披露 CVE-2025-5777 漏洞（俗称 “CitrixBleed 2”），该漏洞与 CVE-2023-4966 技术特征类似，同属内存泄露类型，CVSS 评分 9.3，支持未经身份验证的远程攻击者从 NetScaler 设备内存中窃取敏感信息。

CitrixBleed 2 延续了前序漏洞的攻击逻辑，核心仍为内存越界读取缺陷。攻击者通过构造特定请求包，可从 NetScaler 设备内存中提取有效会话令牌，绕过身份验证与多因素认证机制。

与 CVE-2023-4966 相比，CitrixBleed 2 的修复难度更高，需对相关代码进行彻底重构，而非简单补充边界检查，这一现象侧面反映 Citrix 产品代码中可能存在系统性内存安全隐患。

ReliaQuest 研究团队已观察到攻击者对该漏洞的活跃利用，用于获取目标环境初始访问权限，典型攻击特征包括：

2019-2025 年间，Citrix NetScaler 漏洞类型呈现清晰演变轨迹：从早期应用层漏洞（如目录遍历）逐步向复杂内存安全漏洞（如内存泄露、内存溢出）过渡。这种演变不仅体现攻击者技术能力的升级，更对防御方的漏洞检测、应急响应能力提出更高要求。

下表对四款关键 Citrix NetScaler 漏洞的技术特征与利用方式进行对比：

从技术成因维度分析，上述漏洞反映不同层面的安全缺陷：CVE-2019-19781 属于应用层路径验证问题；CVE-2022-27518 源于 SAML 认证流程处理逻辑缺陷；CVE-2023-4966 与 CVE-2025-5777 为内存管理层面的越界读取问题；CVE-2025-7775 则是内存缓冲区操作边界控制不当引发的溢出漏洞。

从利用难度看，CVE-2019-19781 门槛最低，攻击链路短、技术实现直接；后续漏洞利用难度逐步提升，尤其是最新的 CVE-2025-7775，需掌握内存布局分析、shellcode 编写等复杂技术才能实现有效利用。

从影响范围看，多数漏洞覆盖广泛的 NetScaler 版本，且无需特殊配置即可触发。需特别注意的是，CVE-2022-27518 存在场景限制，仅影响配置为 SAML SP 或 IdP 的设备，这一特性在一定程度上缩小了其实际影响范围。

上述漏洞在攻击链中承担的角色存在差异，具体表现如下：

LockBit 为与俄罗斯存在关联的勒索软件组织，历史受害者包括 Accenture、Continental、英国皇家邮政等知名机构。该组织采用 “勒索软件即服务（RaaS）” 运营模式，允许附属成员使用其技术基础设施发起攻击，并按比例分配赎金收益。

2023 年 11 月，LockBit 组织利用 Citrix NetScaler ADC 与 Gateway 的 CVE-2023-4966（CitrixBleed）漏洞，对某大型机构发起攻击。

据《华尔街日报》报道，LockBit 对 该机构的网络攻击核心利用 CitrixBleed 漏洞。安全研究员 Kevin Beaumont 证实，该机构未能及时对其 Citrix NetScaler Gateway 设备的 CitrixBleed 漏洞进行修复，成为攻击成功的关键因素。

该漏洞的高危性体现在其可轻松绕开身份验证机制，为勒索软件组织提供进入企业内网的便捷通道。此次攻击导致该机构系统中断，据公开信息显示，该银行被迫通过携带 USB 闪存驱动器的信使在曼哈顿区域内处理交易业务。

LockBit 组织的典型攻击模式包含以下环节：

APT29（又称 Cozy Bear、The Dukes）是与俄罗斯情报机构存在关联的高级持续性威胁组织，以复杂攻击技术与针对性间谍活动著称，攻击目标主要涵盖政府机构、外交部门、智库及国际组织。

根据安全研究人员的溯源分析，APT29 曾利用 CVE-2019-19781 漏洞开展攻击行动。该组织的攻击具备以下典型特征：

Citrix NetScaler 漏洞的演化历程，清晰呈现网络攻击技术的升级路径：从简单应用层逻辑缺陷，逐步向复杂内存操作漏洞演进。这种技术迭代使得漏洞利用行为更具隐蔽性，同时提升了检测与防御的技术门槛。

从 CVE-2019-19781 到 CVE-2025-7775，可观察到以下核心趋势：

对于安全从业者而言，深入理解漏洞技术本质与攻击者行为模式至关重要。唯有通过深度剖析漏洞成因、构建体系化防御架构，才能在与高级威胁行为体的对抗中保持主动。

随着云计算与边缘计算的快速发展，应用交付控制器（ADC）与网关设备将持续成为高价值攻击目标。安全团队需持续关注此类关键基础设施的安全状态，建立常态化威胁应对机制。具体而言，组织应重点落实以下措施：

最后，针对 CVE-2025-7775 这类高危漏洞，组织应立即启动应急响应：优先完成安全版本升级，终止所有活跃会话，开展全面入侵溯源，并制定长期防御策略。唯有通过快速响应与体系化防御结合，才能在动态变化的威胁环境中保障系统安全。