🧨 NetScaler에서 또 치명적 취약점! CVE-2025-6543 & CitrixBleed2 경보 발령 🚨

요즘 보안 담당자분들, 혹시 NetScaler 장비 쓰고 계신가요?
그렇다면 지금 이 글 반드시 주의 깊게 읽어야 해요! 😨

Citrix가 2025년 6월, 무려 9.2와 9.3 CVSS 점수를 기록한 두 개의 치명적인 취약점을 공개했는데요,
이 중 하나는 실제 공격에도 이미 사용된 제로데이입니다.

💡 NetScaler란?

먼저 NetScaler가 낯선 분들을 위해 짧게 설명하자면,
Citrix의 ADC(Application Delivery Controller) 솔루션으로,
VPN, 프록시, 인증 서버 등 다양한 보안 네트워크 기능을 제공합니다.

---

1️⃣ CVE-2025-6543 – 메모리 오버플로우 제로데이 공격 중! ⚠️

이번에 가장 먼저 경고가 나온 취약점은 CVE-2025-6543입니다.

• 취약점 종류: 메모리 오버플로우
• CVSS 점수: 9.2 (Critical)
• 공격 유형: 인증 없이도 DoS 또는 코드 흐름 제어 가능

❗ 무엇이 문제일까요?

해커가 이 취약점을 이용하면,

• 시스템의 비정상적인 흐름 조작
• 또는 서비스 중단(DoS)을 유발할 수 있습니다.
  특히 VPN Gateway, ICA Proxy, CVPN, RDP Proxy 또는
  AAA(인증/인가 서버)로 설정된 NetScaler 장비가 직접적인 영향을 받아요.

⚠️ 주의: 실제 공격도 이미 발견됨!

Citrix는 이번 취약점이 실제 공격에 악용되고 있다고 공식 발표했습니다.
하지만 구체적인 공격 방식은 아직 공개하지 않았어요.

---

2️⃣ CVE-2025-5777 – ‘CitrixBleed2’ 별명 붙은 고위험 결함 💉

두 번째 취약점은 CVE-2025-5777,
보안 연구자 Kevin Beaumont는 이걸 ‘CitrixBleed2’라고 부를 정도로
이전의 악명 높은 CitrixBleed과 유사한 심각성을 지닌다고 경고했어요.

• 취약점 종류: Out-of-Bounds Memory Read
• CVSS 점수: 9.3 (Critical)
• 영향: 장비 메모리 노출, MFA 우회, 세션 탈취 등

❓ 왜 위험할까요?

공격자가 검증되지 않은 입력값을 통해 장비 메모리에서

• 세션 토큰
• MFA 정보 등을 빼낼 수 있어요.
  즉, 로그인 우회는 물론이고 완전한 세션 탈취도 가능하다는 이야기입니다. 😱

현재까지 이 취약점이 공격에 사용된 사례는 없지만,
전문가들은 곧 악용될 가능성이 크다고 말하고 있어요.

---

🧯 대응 방법 – 즉시 패치! 세션 초기화까지 필수 🛠️

Citrix는 두 취약점에 대해 각각 아래 버전에 패치를 제공했습니다.

🔧 패치 버전 정리

제품 버전	적용된 패치 버전
NetScaler ADC / Gateway 14.1	14.1-47.46
NetScaler ADC / Gateway 13.1	13.1-59.19
NetScaler ADC FIPS	13.1-37.236
NetScaler ADC NDcPP	13.1-37.236

 

그리고 중요한 사실!
더 이상 지원되지 않는 12.1 / 13.0 버전도 취약점에 노출되어 있으므로,
즉시 지원되는 최신 버전으로 마이그레이션해야 합니다.

또한, Citrix Secure Private Access on-prem 또는 Hybrid 구성 환경도
NetScaler를 포함하고 있다면, 동일하게 업그레이드가 필요해요!

---

🧹 Citrix 권장 보안 조치 리스트 ✔️

1. 취약 버전 확인
   장비의 NetScaler 버전이 위 목록에 포함되는지 확인하세요.
2. 즉시 패치 적용
   해당 패치 버전으로 반드시 업데이트하세요.
3. 모든 세션 강제 종료
   특히 CitrixBleed2와 유사한 CVE-2025-5777의 경우,
   기존 사용자 세션을 초기화하지 않으면 세션 탈취 우려가 계속됩니다.
4. 인터넷 노출 여부 확인
   외부에 노출된 NetScaler 인스턴스가 있다면 별도 보안 정책 검토도 필요해요.

---

📌 마무리 – 제로데이는 기다려주지 않아요

NetScaler는 많은 기업이 원격접속 및 인증 인프라로 사용하는
핵심 보안 장비입니다.

이런 장비에서 인증 우회, 세션 탈취, 서비스 중단,
그리고 기존 세션 유출까지 가능한 제로데이가 나왔다는 건
곧 전체 네트워크가 뚫릴 수 있다는 경고입니다. 🚨

패치 먼저, 검토는 나중에!
이미 공격이 발생한 상황에선 ‘다음에’가 통하지 않아요.
보안팀 여러분, 지금 바로 확인하고 조치하세요. 🙏