A Citrix Bleed se le asignó una puntuación CVSS de 9,4/10, lo que la convierte en una vulnerabilidad de divulgación de información crítica y de alta gravedad. Al igual que esta vulnerabilidad, el exploit de Citrix Bleed solo fue posible en los casos en los que los dispositivos NetScaler ADC y Gateway estaban configurados como Gateway (servidor virtual VPN, ICA Proxy, CVPN, RDP Proxy) o servidor virtual AAA.
La incapacidad de este error para exponer datos con una sensibilidad muy alta lo separa de CVE-2023-4966. «Este error es casi idéntico a la vulnerabilidad Citrix Bleed (CVE-2023-4966), excepto que es menos probable que devuelva información altamente confidencial a un atacante», agrega el blog.
Citrix solucionó silenciosamente la falla
Si bien a la vulnerabilidad no se le ha asignado un ID CVE, probablemente porque Citrix no ha hecho ninguna divulgación pública sobre la vulnerabilidad hasta ahora, se observó que se solucionó en la versión 13.1-51.15 de NetScaler.
Se especula que la empresa ha abordado el tema en silencio sin hacer ninguna divulgación. Bishop Fox instó a los usuarios a actualizar a la versión 13.1-51.15 o posterior como solución a esta vulnerabilidad.
«La vulnerabilidad permite a un atacante recuperar datos potencialmente confidenciales de la memoria», añadió Bishop Fox. “Aunque en la mayoría de los casos no se devuelve nada de valor, hemos observado casos en los que se filtran cuerpos de solicitudes POST. Estas solicitudes POST pueden contener credenciales o cookies”. No está claro si Citrix había revelado esta vulnerabilidad de forma privada a sus clientes o si incluso había reconocido el problema planteado por Bishop Fox como una vulnerabilidad.