CVE-2025-5777 — CitrixBleed 2 (كشف الذاكرة في Citrix NetScaler)

CVSS 9.3 — حرِج — استغلال نشط في البرية

CitrixBleed 2 هو ثغرة كشف ذاكرة في Citrix NetScaler ADC وNetScaler Gateway. يؤدي التحقق غير الكافي من المدخلات في نقطة نهاية المصادقة إلى قراءة زائدة للذاكرة (CWE-125)، مما يسمح لمهاجم غير مصادَق بتسريب محتويات حساسة من الذاكرة — بما في ذلك ملفات تعريف الجلسات، والمواد التشفيرية، وأسرار أخرى.

نظرة عامة

التفاصيل الفنية

تقع الثغرة في نقطة نهاية المصادقة:

POST /p/u/doAuthentication.do

عند إرسال طلب يحتوي على معامل login فارغ، يتم تجاوز التحقق من المدخلات في الخادم، مما يجعله ينسخ ذاكرة غير مهيأة إلى الاستجابة. تظهر البيانات المسرّبة داخل عناصر XML <InitialValue> في استجابة HTTP.

يمكن للمهاجم دمج تسريب الذاكرة مع هجوم اختطاف الجلسة عبر استخراج ملفات تعريف جلسات NSC_AAAC من الذاكرة المسرّبة.

ما الذي يُسرَّب

• ملفات تعريف الجلسات (NSC_AAAC, NSC_TEMP, إلخ.)
• عناوين IP الداخلية
• أجزاء من المكدس (Stack) / الكومة (Heap)
• مواد مفاتيح التشفير (لوحظت في بعض التسريبات)
• رموز جلسات المستخدمين الآخرين

الإصدارات المتأثرة

تتأثر فقط الأجهزة المُهيأة كـ Gateway (VPN / ICA / CVPN / RDP Proxy) أو خادم افتراضي AAA. وضع الجهاز (L2/L3) ليس عرضة للثغرة.

خطوات إعادة الإنتاج

1. حدد جهاز Citrix NetScaler ADC/Gateway يعمل بإصدار متأثر.
2. تحقق من أن وضع Gateway أو الخادم الافتراضي AAA مُهيأ.
3. أرسل طلب POST إلى /p/u/doAuthentication.do مع معامل login فارغ.
4. التقط استجابة HTTP واستخرج قيم عناصر <InitialValue>.
5. افحص البيانات المسرّبة بحثًا عن ملفات تعريف الجلسات وأسرار أخرى.
6. إذا تم العثور على ملف تعريف NSC_AAAC، استخدمه لانتحال جلسة الضحية.

إثبات المفهوم (PoC)

POST /p/u/doAuthentication.do HTTP/1.1
Host: target.example.com
Content-Type: application/x-www-form-urlencoded

login=&passwd=foo

ستحتوي الاستجابة على وسوم <InitialValue> تحتوي محتويات الذاكرة المسرّبة. على نظام مُصحَّح، يجب أن يكون <InitialValue> فارغًا ببساطة.

الإجراءات التخفيفية

1. قم بالترقية إلى إصدار البرنامج الثابت المُصحَّح المذكور أعلاه.
2. قم بإبطال جميع الجلسات النشطة بعد الترقية لضمان أن أي رموز مسرّبة لم تعد صالحة.
3. إذا لم يكن الترقية الفورية ممكنة، قيّد الوصول إلى واجهة الإدارة ونقاط نهاية المصادقة عبر قواعد ACL أو WAF.
4. راقب علامات الاستغلال — الطلبات غير المتوقعة إلى /p/u/doAuthentication.do بمعاملات فارغة.

المراجع

• استشارة أمنية من Citrix: https://support.citrix.com/article/CTX691608
• مدخل CVE: https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• NVD: https://nvd.nist.gov/