Az új CitrixBleed2 hibán keresztül ömlenek ki a céges adatok
A Citrix NetScaler rendszerekben most felfedezett CitrixBleed2 nevű biztonsági rés (CVE-2025-5777) lehetővé teszi a támadók számára, hogy akár egyszerű támadásokkal felhasználói munkamenet-tokeneket szerezzenek meg – azaz hozzáférést kapjanak aktív céges fiókokhoz. Az érintett eszközök közé tartozik a Citrix NetScaler ADC és a Gateway, amelyeket világszerte számtalan vállalat használ.
Hogyan működik a támadás?
A hiba lényege, hogy a támadó egy szándékosan hibás POST kérést küld a bejelentkezéskor, amelyben a login paraméterhez nem rendel értéket, csak magát a kulcsot adja meg – például login helyett login=. Ennek hatására a NetScaler memóriatartalmat jelenít meg a válaszban az szakaszban, egészen az első előforduló null-karakterig. A rés kihasználásának hátterében az snprintf függvény helytelen használata áll: a %.*s formázási utasítás annyi karaktert ír ki, amennyi egy adott határig, vagy az első null-pozícióig található a memóriában. Minden hibás lekérdezéssel újabb, eddig nem inicializált adat kerül elő – egyszerre körülbelül 127 bájt –, amit a támadó ismételt HTTP kérésekkel tovább bővíthet, akár érzékeny információkig jutva.
A tét: felhasználói fiókok, admin-hozzáférések
A hibát elsőként a WatchTowr és a Horizon3 kutatói elemezték; utóbbi egy bemutató videóban igazolta, hogy a módszerrel sikeresen megszerezhetők felhasználói session-tokenek. Nemcsak a végfelhasználói kapcsolatok, hanem az adminisztrátori konfigurációs felület is érintett. Ez azt jelenti, hogy a támadók akár teljes adminisztrátori jogosultságot is szerezhetnek hasonló trükkökkel.
A Citrix hivatalosan tagadja, hogy már folynának aktív támadások, ám egy kiberbiztonsági cég júniusi jelentésében már több gyanús munkamenet-eltérítést is felderítettek, sőt, egy szakértő június közepe óta aktív kiaknázást azonosított. Jellemző jelek: a NetScaler logokban ismétlődő POST kérések a doAuthentication végpontra, mindegyiknél körülbelül 127 bájt RAM kerül kiszivárogtatásra. Gyakori továbbá, hogy a LOGOFF eseményeknél szokatlan felhasználónevek, például a # karakter jelennek meg.
A Citrix már kiadta a szükséges biztonsági javítást. Az azonnali frissítés erősen ajánlott! Emellett érdemes minden aktív felhasználói munkamenetet áttekinteni, gyanús tevékenységeket keresve – mielőtt minden sessiont egyből megszakítanánk.
Lezárás
A CitrixBleed2 tipikus példája annak, hogy bár a felhős támadások egyre kifinomultabbak, a legsúlyosabb kompromittálódásokhoz ma is szinte gyermeteg hibák is elegendőek. A biztonság továbbra is az alapoktól kezdődik: folyamatos frissítés, logelemzés és tudatosság nélkül nem lehet a támadók előtt járni.
Kezdetben az MI-modelleket úgy tervezték, hogy semleges, megbízható eszközök legyenek, mindenféle veszélyes vagy nem kívánatos viselkedéstől mentesen...
🎾 Érdemes megvizsgálni, milyen esélyekkel és körülmények között találkozik a feltörekvő cseh tehetség, Jakub Mensik és a rutinos német favorit, Alexander Zverev a 2026-os Roland-Garros elődöntőjében...
Érdemes megvizsgálni, hogy miért forog veszélyben az MI-innováció, miközben drága hardverek porosodnak kihasználatlanul, a kisebb szereplők pedig elérhetetlen áron próbálnak hozzájutni ugyanazokhoz az erőforrásokhoz...
Az Egyesült Államok legnagyobb bankjai a jövő év közepétől egy közös, tokenizált hálózat bevezetését tervezik, hogy megakadályozzák, hogy a stabilcoinok elszívják a betéteiket...
Ez a jelenség jól illusztrálható azzal, hogy egy konyhai gép egyszerre helyettesítheti a légsütőt és a kenyérpirítót, miközben minden ételt lényegesen gyorsabban tálal, mint azt bárki várná...
🤔 Egy tavaszi marketingkampányban a kreatív koncepció angolul újjászületést, optimizmust sugall a virágzó fákon keresztül – ez a képi világ az angolszász kultúrában a remény szimbóluma...
🦐 Áprilisban szinte mindenki átsiklott egy olyan játékon a Steamen, amely valószínűleg kihagyhatatlan, ha szeretnéd ötvözni az akciót és a tenger élővilágát...
Felmerül a kérdés, meddig tart az idei kriptotőzsdei hullámvasút, hiszen a vezető digitális eszközök és a kapcsolódó vállalatok most sorra veszítenek értékükből...
Többek között szinte elképzelhetetlen, mennyit változott mára a szoftverfejlesztés világa: az Anthropic májusban bejelentette, hogy a vállalatnál futó, éles rendszerekhez tartozó kód több mint 80 százalékát már nem emberek, hanem a saját MI-rendszerük, a Claude írja és szerkeszti...
Megemlíthető továbbá, hogy a pénzügyi piacok ismét turbulens napokat élnek át, miután a technológiai szektorban, és különösen a mesterséges intelligencia által fűtött részvények körében elindult lejtmenet átragadt a kriptovaluták piacára is...
💫 A James Webb-űrteleszkóp egy eddig sosem látott távolságban rejtőző, inaktív fekete lyukat észlelt, amely a Földtől több mint tízmilliárd fényévre lévő MRG-M0138 nevű galaxisban található...
🏡 Lakáshoz jutni az elmúlt évek bonyolult megoldásai után már kevésbé nyűgös feladat az FFXIV-ben, mégsem lehet csak úgy besétálni álmaid virtuális otthonába...
Fizetős iOS appok és játékok, amik ingyenesek a mai napon. Between Dates Calendar Math (iPhone/iPad)A Between Days egy letisztult, könnyen kezelhető alkalmazás, amely villámgyorsan kiszámolja, hány nap választ el két tetszőleges dátumot...
👐 A világegyetem titokzatos rádiójelekkel bombázza a Földet, s ezek közül egy különösen furcsa, ismétlődő forrásra most végre sikerült magyarázatot találni...
🎮 Június minden évben különleges időszak volt a PC-s játékok világában, akár 1996-ban varázsolt el minket egy új Star Wars-játék, akár 2016-ban izgultunk a legmenőbb hardverekért...
🌷 Az NYT Strands mai fordulója rendkívül érdekes szavakat vonultat fel, amelyek első látásra nem tűnnek fenyegetőnek, de együtt már egy harcias téma bontakozik ki...
A népszerű Zcash kriptovaluta értéke egy nap alatt mintegy 30 százalékot zuhant, miután kiderült: évek óta rendkívül súlyos biztonsági rés tátongott benne, amit csak egy vészhelyzeti javítással sikerült gyorsan befoltozni...
Az amerikai és európai nappalikban egyre gyakrabban tűnik fel a WiiM neve, egy fiatal, ám annál lendületesebb hangtechnológiai vállalat, amely néhány év alatt a streaming erősítőktől a saját hangszóró- és mélynyomórendszer fejlesztéséig jutott...
👀 A digitális pénz, a gyorsan változó szabályozás és a fejlett, MI-alapú infrastruktúra fejlődése folyamatos alkalmazkodásra kényszeríti a pénzügyi tanácsadókat...
💻 Úgy tűnik, hogy a Valve kitart az idei nyári rajtra vonatkozó ígérete mellett, ellenére annak, hogy az alkatrészek piacán brutális áremelkedések és hiányok borzolják a kedélyeket...
💔 Fontos kérdés, hogy a filmvilág miért veszít el időről időre olyan ismert arcokat, akiket szinte mindenki ismer – ez különösen akkor igaz, ha egy meghökkentő bűncselekmény áll a háttérben...
