Citrix NetScaler再曝漏洞：配置错误引发内存泄漏与反射型XSS
watchTowr Labs披露Citrix NetScaler两个新漏洞：AAA配置错误导致内存泄漏（WT-2025-0089）和SAML RelayState反射型XSS（CVE-2025-12101）。分析攻击链、缓解措施及对CitrixBleed系列漏洞的延续影响。
🔓 Medium 漏洞利用
watchTowr Labs在分析CitrixBleed2（CVE-2025-5777）时，意外发现两个新漏洞：WT-2025-0089（AAA虚拟服务器配置错误导致内存泄漏）和WT-2025-0090（SAML RelayState参数反射型XSS，CVE-2025-12101）。攻击者可利用这些漏洞泄露敏感内存数据或通过CSRF触发XSS攻击。
来源：watchTowr Labs | 0 | 原文链接
🔍 关键发现
- WT-2025-0089：未启用AAA功能时配置AAA虚拟服务器，导致根路径/直接泄漏内存（非真实世界威胁，未分配CVE）
- WT-2025-0090（CVE-2025-12101）：/cgi/logout端点SAML RelayState参数存在反射型XSS，可结合CSRF利用
- Citrix NetScaler内存管理持续脆弱，即使配置错误也能触发内存泄漏，延续了CitrixBleed系列漏洞模式
⚔️ 攻击链分析
1. 攻击者构造恶意SAMLResponse和base64编码的RelayState（包含XSS payload）→ 2. 通过POST请求发送到/cgi/logout端点 → 3. 若用户已登录或通过CSRF诱导，浏览器解析响应执行XSS → 4. 攻击者窃取会话信息或执行恶意操作
🚩 失陷指标 (IOC)
POST请求中RelayState参数包含base64编码的Content-Type: text/html及异常HTTP响应头包含Content-Type: text/html且直接输出未过滤的HTML/JavaScript
🛡️ 缓解建议
- ✅ 升级Citrix NetScaler至修复版本（参考厂商安全公告）
- ✅ 严格遵循官方文档配置AAA虚拟服务器，确保启用AAA功能后再创建服务器
- ✅ 对/cgi/logout等SAML相关端点实施输入验证和输出编码，防止XSS攻击
涉及漏洞：["CVE-2025-12101""CVE-2025-5777"]
⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。
🤖 常见问题解答（FAQ）
❓ CVE-2025-12101是否需要认证？
不需要认证，但实际利用需要用户已登录或通过CSRF诱导，因为/cgi/logout端点接受POST请求并返回HTML响应。
❓ WT-2025-0089内存泄漏如何触发？
通过Web界面创建AAA虚拟服务器后，未在CLI中启用AAA功能，访问设备根路径/即可看到泄漏的内存数据。
❓ 该XSS漏洞在现实中有多危险？
危险性较低，因为需要用户已登录NetScaler且攻击者需构造有效SAML响应；但结合CSRF可扩大攻击面，建议尽快修复。