CVE-2025-5777 — Citrix NetScaler "CitrixBleed 2" كشف الذاكرة

بحث تحليلي من إعداد Sentinel AI Defense. تحليل دفاعي فقط — لا يُنشر هنا أي استغلال فعّال أو PoC.

التكملة لثغرة CitrixBleed الأصلية: قراءة خارج النطاق في نقاط نهاية مصادقة NetScaler ADC/Gateway تمنح مهاجمًا غير مصادَق أجزاءً من ذاكرة الخادم — بما في ذلك رموز الجلسات — مباشرةً في استجابة HTTP.

📄 المقال الكامل: https://sentinelaidefense.com/posts/cve-2025-5777-citrixbleed-2.html

---

نظرة عامة

ثغرة CVE-2025-5777 (يُشار إليها عادةً باسم CitrixBleed 2) هي ثغرة قراءة خارج النطاق (CWE-125 / CWE-457) في Citrix NetScaler ADC وNetScaler Gateway. تنتج عن عدم كفاية التحقق من المُدخلات عند معالجة طلبات HTTP مصاغة بعناية تُرسل إلى نقاط نهاية المصادقة. يتيح ذلك لمهاجم بعيد غير مصادَق تسريب أجزاء من ذاكرة الخادم، بما في ذلك بيانات حساسة مثل رموز الجلسات (مثل كوكيز NSC_AAAC).

هذه الثغرة هي امتداد لثغرة CitrixBleed الأصلية (CVE-2023-4966). يتيح استغلالها اختطاف الجلسات وتجاوز المصادقة متعددة العوامل MFA دون الحاجة إلى أي تفاعل إضافي. درجة CVSS v3/v4: 9.3 (حرجة). أُضيفت إلى كتالوج CISA KEV في 10 يوليو 2025.

الإصدارات المتأثرة

الثغرة قابلة للاستغلال عند التهيئة كبوابة Gateway (خادم VPN افتراضي، ICA Proxy، CVPN، RDP Proxy) أو خادم AAA افتراضي:

• NetScaler ADC / Gateway 14.1 قبل 14.1-43.56
• 13.1 قبل 13.1-58.32
• 13.1-FIPS وNDcPP قبل 13.1-37.235
• 12.1-FIPS قبل 12.1-55.328
• الإصدارات المنتهية الدعم (EOL) 12.1 و13.0

صدرت الإصدارات المصححة اعتبارًا من 17 يونيو 2025 (مع تحديثات في أواخر يونيو / أوائل يوليو).

التحليل الفني (السبب الجذري)

يكمن الخلل في معالج طلبات المصادقة (لا سيما نقطة النهاية /p/u/doAuthentication.do). عند معالجة طلبات HTTP POST تحتوي على باراميتر مشوّه (مثل وجود login دون قيمة صحيحة أو علامة يساوي)، يتخطى كود C الخلفي التهيئة الصحيحة لمخزن مكدس (stack buffer).

نتيجةً لذلك، يعكس الاستجابة (غالبًا في وسم XML <InitialValue>) حوالي 127 بايت من ذاكرة المكدس غير المهيأة من عمليات سابقة. تكرار الطلبات يُنتج أجزاء ذاكرة مختلفة. هذه حالة كلاسيكية لاستخدام متغير غير مهيأ مقترنة بقراءة خارج النطاق بسبب غياب فحص الحدود وتصفير المخازن.

لا حاجة إلى مصادقة أو تفاعل معقد — يحدث التسريب قبل المصادقة.

سلسلة الهجوم

1. يرسل المهاجم طلب HTTP POST مصاغًا بعناية إلى نقطة نهاية المصادقة المعرضة للخطر بباراميترات مشوّهة.
2. يُعيد الخادم أجزاء ذاكرة مسرّبة تحتوي على رموز جلسات أو بيانات اعتماد أو بيانات أخرى من الذاكرة.
3. يعيد المهاجم استخدام كوكيز جلسات صالحة (مثل NSC_AAAC) لاختطاف جلسات VPN/Gateway النشطة، متجاوزًا غالبًا MFA.
4. وصول إضافي إلى الشبكات الداخلية أو حركة جانبية.

لوحظ استغلال الثغرة في البيئات الحقيقية في وقت مبكر من 23 يونيو 2025 (قبل نشر PoC العامة في 4 يوليو). أكدت GreyNoise وAmazon MadPot وغيرهما أنشطة فحص موجّهة ونشاط APT (بما في ذلك استخدام ثغرة يوم-صفر).

إرشادات الكشف

• راقب طلبات POST غير اعتيادية إلى /p/u/doAuthentication.do (أو نقاط نهاية مصادقة مشابهة) بباراميترات مشوّهة (قيم مفقودة، هياكل ترويسة/جسم غير معتادة).
• ابحث عن طلبات متكررة من نفس المصدر تُرجع محتوى استجابة متباينًا (توقيع تسريب الذاكرة).
• اكتشف استخدام كوكيز NSC_AAAC المستخرجة أو نشاط جلسات غير معتاد على بوابات Gateway/VPN.
• على مستوى الشبكة: استجابات XML غير متوقعة تحتوي على بيانات تشبه البيانات الثنائية في وسم <InitialValue>.
• سجلات نقاط النهاية على NetScaler لرصد حالات فشل مصادقة غير معتادة أو شذوذ متعلق بالذاكرة.

قواعد YARA وتوقيعات Snort/Suricata التي تستهدف أنماط الطلبات متاحة من المنشورات البحثية.

مؤشرات الاختراق

• أنماط طلبات محددة إلى /p/u/doAuthentication.do بباراميترات مثل login (بدون قيمة).
• عناوين IP مصدر مرتبطة بالاستغلال المبكر (موجات أولية من بنية تحتية مرتبطة بالصين).
• كوكيز جلسات مسرّبة تبدأ بـ NSC_AAAC=.
• إشارات إلى أدوات/PoC الخاصة بـ CitrixBleed 2 بعد 4 يوليو 2025.

راجع النشرة الأمنية من Citrix وتنبيهات CISA للحصول على قوائم IoC الكاملة والمحدثة.

التخفيف

• التصحيح الفوري إلى الإصدارات المصححة المدرجة في نشرة Citrix الاستشارية (لا تتوفر حلول بديلة فعّالة).
• تقييد التعرض العام لواجهات NetScaler Gateway/AAA حيثما أمكن (مثل عبر WAF أو الحظر الجغرافي أو واجهات أمامية عبر VPN).
• تفعيل تسجيل ومراقبة صارمين لنقاط نهاية المصادقة.
• تدوير/إلغاء الجلسات التي يُحتمل اختراقها وفرض فترات عمر قصيرة للجلسات.
• اتباع توصيات Citrix لتعطيل الميزات غير الضرورية (مثل تقييد تهيئات Gateway).

تعامل مع هذه الثغرة بأولوية عالية نظرًا لسهولة استغلالها وتأثيرها المباشر على البنية التحتية للوصول عن بُعد.

المراجع

• النشرة الأمنية من Citrix لثغرة CVE-2025-5777
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-5777
• كتالوج CISA للثغرات المستغلة المعروفة (أُضيفت في 2025-07-10)

إخلاء المسؤولية

نُشر هذا المستودع لأغراض دفاعية وتعليمية فقط. يحتوي على تحليل ومنطق كشف وإرشادات تخفيف. لا يُقدَّم أي كود استغلال فعّال. استخدم هذه المعلومات فقط على الأنظمة المصرَّح لك باختبارها والدفاع عنها.

---

_{تتم الصيانة بواسطة Sentinel AI Defense · نتائج تتم مشاركتها بمسؤولية ضمن إفصاح منسّق.}