Citrix修補VDI平臺本機權限提升資安漏洞

7月8日Citrix針對旗下的虛擬桌面平臺（VDI）Citrix Virtual Apps and Desktops（CVAD）、Citrix DaaS發布資安公告，修補Windows版Virtual Delivery代理程式的資安漏洞CVE-2025-6759，此為本機權限提升漏洞（LPE），僅取得低權限的攻擊者有機會藉此得到SYSTEM身分，4.0版CVSS風險評為7.3，影響現行版本（Current Release）與2402長期支援版（LTSR）的CVAD，2203 LTSR不受影響，該公司推出2503、2402 LTSR CU1 Update 1、2402 LTSR CU2 Update 1修補。

這項弱點可能帶來哪些影響？通報漏洞的資安業者Rapid7表示，取得低權限的攻擊者能藉由複製外洩的SYSTEM處理程序，並藉由漏洞以SYSTEM權限孳生新的處理程序。

針對漏洞發現的過程，起初Rapid7觀察到，GfxMgr.exe裡面有個SYSTEM層級的處理程序，運用了PROCESS_ALL_ACCESS權限來進行操作，而這樣的處理程序竟被外洩到CtxGfx.exe的處理程序當中。由於這種弱點是將特殊權限的處理程序內容洩露給低權限使用者擁有的處理程序，因此能在無須額外、特殊的權限，就能複製並產生新的處理程序。

為了驗證這項漏洞，他們使用能公開取得的工具GiveMeAHand並修改，來識別並利用這項弱點，結果成功將使用者的身分變為NT AUTHORITY\SYSTEM。