Citrix Bleed 3? Angreifer nutzen neue schwere Sicherheitslücken bereits aus
Fast auf den Tag genau zwei Monate nach Bekanntwerden des Sicherheitsfehlers „Citrix Bleed 2“ droht erneut Ungemach für Verwender von Appliances des Typs NetScaler ADC und Gateway. Der Hersteller meldet gleich drei Probleme, eins davon kritisch. Admins sollten prüfen, ob ihre Geräte betroffen sind – Citrix hat dazu Handreichungen veröffentlicht.
Verwundbare Software
Die betroffenen Firmware-Versionen unterscheiden sich dabei nicht, es handelt sich nach Citrix-Angaben jeweils um:
NetScaler ADC und NetScaler Gateway 14.1 vor Version 14.1-47.48,
NetScaler ADC und NetScaler Gateway 13.1 vor Version 13.1-59.22,
NDcPP- und FIPS-zertifizierte Versionen NetScaler ADC „13.1-FIPS and NDcPP“ vor Versionsnummer „13.1-37.241-FIPS and NDcPP“ sowie
NDcPP- und FIPS-zertifizierte Versionen NetScaler ADC „12.1-FIPS and NDcPP“ vor „12.1-55.330-FIPS and NDcPP“
Alle drei Lücken sind jedoch nicht in den Standardeinstellungen ausnutzbar, sondern unter bestimmten Bedingungen. Beim schwersten der drei Sicherheitsfehler, einem Speicherüberlauf mit anschließender Möglichkeit, Code einzuschleusen (CVE-2025-7775, CVSS4 9.2/10, Schweregrad kritisch), muss eine von vier Vorbedingungen gegeben sein, wie Citrix im Advisory weiter ausführt:
NetScaler muss als Gateway konfiguriert sein – das dürfte für eine große Mehrzahl der Geräte zutreffen,
oder die NDcPP-/FIPS-zertifizierte Version muss Loadbalancing-Dienste für HTTP/QUIC in IPv6 anbieten,
oder NetScaler ist als virtueller CR-Server (Cache Redirection) vom Typ HDX konfiguriert.
Doch auch die zwei weniger kritischen Lücken tragen hohes Schadenspotential in sich. CVE-2025-7776 (CVSS 8.8, Schweregrad hoch) kann das Gerät destabilisieren, setzt aber eine Konfiguration als Gateway mit einem PCoIP-Profil (PC over Internet Protocol) voraus. CVE-2025-8424 (CVSS4 8,7/10, Schweregrad „hoch„) hingegen verschafft Angreifern Zugriff auf geschützte Dateien. Dafür benötigen sie jedoch Zugriff auf das Management-Interface der Appliance, das Citrix-Angaben zufolge meist mit Zugriffslisten (ACLs) oder einer externen Authentisierungslösung geschützt sei.
Updates verfügbar
Admins sollten nun zügig prüfen, ob ihre Geräte betroffen sind. Das gelingt, indem sie die Konfigurationsdatei „ns.conf“ auf die notwendigen Vorbedingungen abklopfen – Citrix verrät in einem Support-Artikel, wie das geht.
Die folgenden Firmware-Versionen sind abgedichtet:
NetScaler ADC / NetScaler Gateway 14.1-47.48 und später,
NetScaler ADC / NetScaler Gateway 13.1-59.22 und neuere Versionen des Baums 13.1,
NetScaler ADC 13.1-FIPS und 13.1-NDcPP 13.1-37.241 und neuere Versionen von 13.1-FIPS und 13.1-NDcPP sowie
NetScaler ADC 12.1-FIPS und 12.1-NDcPP 12.1-55.330 und neuere Ausgaben der Versionen 12.1-FIPS und 12.1-NDcPP.
Aktive Angriffe – droht Citrix Bleed 3?
Citrix gibt an, dass die kritische Lücke CVE-2025-7775 bereits aktiven Angriffen ausgesetzt sei. Die US-Cybersicherheitsbehörde CISA warnte auch am späten Abend des 26.08. in ihrer „Known Exploited Vulnerabilities“-Liste (KEV) vor Angriffsversuchen.
Es empfiehlt sich also, Updates baldmöglichst einzuspielen – die letzte Citrix-Lücke war unangenehm eskaliert und wird noch immer ausgenutzt. Sie trug den Spitznamen „Citrix Bleed 2“ und die CVE-ID CVE-2025-5777. Die neue kritische Sicherheitslücke dreht diesen Zahlencode nun um, aus 5777 wird 7775 – ein interessanter Zufall.
Wachsamkeit ist allemal geboten, denn derlei Fehler tragen stets das Potenzial der massenhaften Ausnutzung durch Cyberkriminelle wie etwa Ransomware-Banden. Ob ein „Citrix Bleed 3“ droht, bleibt dennoch abzuwarten.
Die für ihre Überwachungssoftware Pegasus bekannte NSO-Group wird von einer US-amerikanischen Investorengruppe aufgekauft. Das bestätigt das Unternehmen gegenüber dem Online-Nachrichtenportal TechCrunch. Laut NSO-Sprecher Oded Hershowitz habe „eine amerikanische Investorengruppe Dutzende Millionen Dollar in das Unternehmen investiert und die Kontrollmehrheit erworben.“
Gegenüber TechCrunch betonte er, dass die Investition nichts daran ändere, dass das Unternehmen unter israelischer Kontrolle operiert. Der Hauptsitz verbleibe in Israel und auch die Kernoperationen werden weiter von dort ausgeführt. Die NSU-Group „wird weiterhin vollständig von den zuständigen israelischen Behörden beaufsichtigt und reguliert, darunter das Verteidigungsministerium und der israelische Regulierungsrahmen“, so Hershowitz.
Die genaue Investitionssumme sowie die Identität der Investoren nannte der Sprecher nicht. Spekulationen darüber gibt es aber längst. Wie die israelische Technik-Nachrichten-Seite Calcalist berichtet, stehe eine von dem Hollywood-Produzenten Robert Simonds geführte Gruppe hinter dem Deal. Laut Calcalist hat die Übernahme eine Vorgeschichte. Simonds war demnach offenbar bereits zuvor im Vorstand der NSO-Muttergesellschaft tätig, trat jedoch nach fünf Monaten zurück. Außerdem gebe es Hinweise darauf, dass William Wrigley Jr., ein Erbe des Wrigley-Kaugummi-Imperiums, möglicherweise an den Übernahmeplänen beteiligt ist oder war.
Von Kontroversen und rechtlichen Problemen
Eigentlich steht das Unternehmen auf der Sanktionsliste des US-Handelsministeriums, das amerikanischen Unternehmen den Handel mit dem Spyware-Anbieter untersagt. John Scott-Railton, ein leitender Forscher am Citizen Lab, der seit einem Jahrzehnt Missbrauchsfälle von NSO-Spyware untersucht, äußerte gegenüber TechCrunch Bedenken zur Übernahme: „NSO ist ein Unternehmen mit einer langen Geschichte, gegen amerikanische Interessen zu handeln und das Hacken amerikanischer Beamter zu unterstützen.“ Er bezeichnete Pegasus als „Diktator-Technik“, die nicht in die Nähe von Amerikanern gehöre.
Laut TechCrunch hatte NSO noch im Mai 2025 mithilfe einer Lobbyfirma mit Verbindungen zur Trump-Administration versucht, von der US-Blockadeliste entfernt zu werden.
Viele Spekulationen zur NSO-Übernahme stehen also im Raum. Das passt zur bisherigen Geschichte, denn seit seiner Gründung steht das Unternehmen im Zentrum zahlreicher Kontroversen. Forschungs- und Journalistengruppen sowie Amnesty International haben über Jahre hinweg dokumentiert, wie die Spionagesoftware Pegasus eingesetzt wurde, um Journalisten, Menschenrechtler und Politiker in unzähligen Ländern auszuspionieren.
Auseinandersetzung mit WhatsApp
Für Aufsehen sorgte in jüngerer Vergangenheit die Auseinandersetzung mit dem Meta-Konzern. Anfang Mai wurde das Unternehmen zur Zahlung von mehr als 167 Millionen US-Dollar (144 Millionen Euro) Schadensersatz an den zum Meta-Konzern gehörenden Messenger-Dienst WhatsApp verurteilt.
WhatsApp verklagte die NSO-Group bereits im Oktober 2019, weil diese angeblich durch unerlaubten Zugriff auf WhatsApp-Server die Spionagesoftware Pegasus auf den Geräten von etwa 1400 Nutzern installiert hatte, darunter eben Journalisten und Menschenrechtsaktivisten.
Die NSO-Group verteidigte sich mit dem Argument, ihre Software diene Strafverfolgungsbehörden und Geheimdiensten im Auftrag ausländischer Regierungen zur Bekämpfung von Terrorismus und anderen schweren Verbrechen.
Täglich grüßt die Chatkontrolle. (Symboltier) – Alle Rechte vorbehalten IMAGO / Andreas Stroh; Bearbeitung: netzpolitik.org
Seit der vorigen Folge sind viele neue Leute ins Team gekommen. Eine dieser Personen könnt ihr in diesem Podcast kennenlernen: unser neuer – und erster – Volontär Timur. Er erzählt über sich und das, was ihn in seinen ersten Wochen bei netzpolitik.org überrascht hat.
Außerdem sprechen wir über das Thema, das uns diese Woche am meisten beschäftigt hat: die Chatkontrolle. Zwei Jahre nach der letzten Folge mit diesem Schwerpunkt berichtet Markus, wo wir heute stehen, und wie er es weiter aushält, beständig über diesen netzpolitischen Dauerbrenner zu berichten.
In dieser Folge: Timur Vorkul, Markus Reuter und Anna Biselli. Produktion: Serafin Dinges. Titelmusik: Trummerschlunk.
Hier ist die MP3 zum Download. Wie gewohnt gibt es den Podcast auch im offenen ogg-Format. Ein maschinell erstelltes Transkript gibt es im txt-Format.
Unseren Podcast könnt ihr auf vielen Wegen hören. Der einfachste: in dem Player hier auf der Seite auf Play drücken. Ihr findet uns aber ebenso bei Apple Podcasts, Spotify und Deezer oder mit dem Podcatcher eures Vertrauens, die URL lautet dann netzpolitik.org/podcast.
Wir freuen uns auch über Kritik, Lob, Ideen und Fragen entweder hier in den Kommentaren oder per E-Mail an podcast@netzpolitik.org.
Die Woche, in der die Bundesregierung unter Druck geriet
Liebe Leser:innen,
vor genau einer Woche stand im Wochenrückblick, dass die Bundesregierung im EU-Rat am 14. Oktober für die Chatkontrolle stimmen könnte. Auf Anfragen von uns hatte sie keine Position gegen die Überwachungspläne bezogen.
Jetzt, nur eine Woche später hat sich der Wind gedreht: Die Abstimmung im EU-Rat ist erstmal abgesagt, wohl auch weil sich die Bundesregierung am vergangenen Mittwoch gegen eine „anlasslose Chatkontrolle“ positioniert hat und es so keine Mehrheit geben würde. Das wohl gefährlichste Überwachungsprojekt Europas ist vorerst wieder abgewehrt.
Im letzten Wochenrückblick stand auch, dass es nicht zu spät für Proteste sei. Und genau das hat sich bewahrheitet: Es war nicht zu spät. Aus verschiedenen Ecken der Gesellschaft gab es Gegenwind, von Bitkom über den Kinderschutzbund bis zum Messenger-Platzhirsch WhatsApp. Aber auch jede Menge wütende Menschen, die massenweise E-Mails schrieben oder anriefen, um ihren Unmut zu äußern. Eine Petition sammelte in 48 Stunden mehr als 300.000 Unterschriften. Auf unserer Startseite gab es zwischenzeitlich kein anderes Thema mehr.
Am Ende lenkte die schwarz-rote Bundesregierung ein, nicht ohne frech zu behaupten, dass sie ja schon immer gegen die anlasslose Chatkontrolle gewesen sei.
Dieser Etappensieg der Zivilgesellschaft ist ein toller Erfolg. Er zeigt, dass es sich lohnt zu protestieren. Aber das Thema Chatkontrolle ist noch lange nicht vom Tisch. Einerseits müssen wir hierzulande ganz genau schauen, was die Bundesregierung eigentlich unter der Ablehnung einer anlasslosen Chatkontrolle versteht. Meint das auch Überwachungstools wie Client-Side-Scanning? Wie sieht es mit Zugriff bei einem „Anlass“ aus? Es darf keine Technologien auf unseren Smartphones und Computern geben, die Ende-zu-Ende-Verschlüsselung in irgendeiner Form umgehen oder schwächen. Dazu muss die Bundesregierung deutlich stehen.
Auf der anderen Seite steht im EU-Rat nur ein Teil der Mitgliedsländer gegen die Chatkontrolle. Wenn da einzelne Länder kippen, könnte die Chatkontrolle trotz des Widerstands aus Deutschland doch noch kommen. Es ist also wichtig, dass auch EU-weit Bewusstsein geschaffen wird, wie gefährlich das ist – und dass Chatkontrolle nicht zur Demokratie passt. Es bleibt also viel zu tun, wir berichten natürlich weiterhin.
Dennoch können wir uns jetzt erstmal ein Gläschen Crémant gönnen und uns freuen, dass es auch noch gute Nachrichten in dieser sonst so turbulenten Welt gibt.
Herzliche Grüße
Markus Reuter
Wir sind ein spendenfinanziertes Medium
Unterstütze auch Du unsere Arbeit mit einer Spende.
Der Etappensieg bei der Chatkontrolle ist das Verdienst einer quicklebendigen Zivilgesellschaft, die es geschafft hat, in klugen und unerwarteten Bündnissen die Wichtigkeit des Themas allen vor Augen zu führen. Zeit, dafür Danke zu sagen.
Lesen Sie diesen Artikel: So geht Demokratie weiterlesen
