استغلال تسرب الذاكرة في Citrix NetScaler CVE-2025-5777

[!WARNING] هذا النص البرمجي مخصص للأغراض التعليمية والبحثية فقط. لا تستخدمه ضد أنظمة دون إذن صريح. الوصول غير المصرح به أو الاختبار غير قانوني وغير أخلاقي. اقرأ إخلاء المسؤولية الكامل قبل استخدام هذا النص البرمجي.

نظرة عامة

يوضح هذا المشروع ثغرة تسرب الذاكرة (CVE-2025-5777) الموجودة في أجهزة Citrix NetScaler. تنشأ الثغرة من المعالجة غير السليمة للذاكرة غير المهيأة عند تحليل بيانات POST غير صالحة، وخاصة معامل login. تُعرف على نطاق واسع باسم CitrixBleed 2 بسبب تشابهها الكبير مع الثغرة الشهيرة CVE-2023-4966 (CitrixBleed الأصلية) التي تم استغلالها بشكل كبير في عام 2023.

عند تضمين حقل login بدون علامة يساوي أو قيمة، يتم إرجاع جزء من ذاكرة المكدس غير المهيأة داخل علامة <InitialValue> في استجابة XML.

البيانات المسربة: يمكن لكل طلب HTTP تسريب ما يقرب من 127 بايت من محتوى ذاكرة الوصول العشوائي (RAM). من خلال تكرار هذه الطلبات، يمكن للمهاجمين جمع بيانات حساسة من الذاكرة، والتي قد تشمل:

• رموز الجلسة (مما يسمح باختطاف الجلسة وتجاوز المصادقة متعددة العوامل MFA).
• بيانات المصادقة.
• أجزاء من طلبات HTTP السابقة.
• بيانات اعتماد نصية (plaintext).
• معلومات حساسة أخرى.

استخدام النص البرمجي

المتطلبات / التبعيات

pip3 install aiohttp colorama

تشغيل النص البرمجي

python3 exploit.py <URL> [options]

أمثلة

الاستخدام الأساسي:

مفصل مع بروكسي:

المساعدة -h:

كيف يعمل

يقوم هذا النص البرمجي بلغة Python بما يلي:

• إرسال طلبات POST غير صالحة بشكل متكرر.
• تحليل استجابات XML.
• استخراج الذاكرة المسربة من حقول <InitialValue>.
• عرضها بتنسيق تفريغ سداسي عشري مثل أداة xxd.
• دعم البروكسي الاختياري، والتنفيذ المتعدد الخيوط (threading)، والإخراج المفصل للتحليل.

التأثير

• اختطاف الجلسة: الشاغل الأساسي هو سرقة رموز الجلسة، مما يسمح للمهاجمين باختطاف جلسات المستخدم النشطة والحصول على وصول غير مصرح به إلى الأنظمة الحيوية، حتى إذا كانت المصادقة متعددة العوامل (MFA) مفعلة.
• تجاوز المصادقة: يمكن استخدام رموز الجلسة المسروقة أو بيانات الاعتماد لتجاوز عملية المصادقة بالكامل.
• كشف البيانات: يمكن كشف المعلومات الحساسة الموجودة في الذاكرة.

الدفاع والتخفيف

• قم بالتحديث إلى أحدث برامج الثابتة الآمنة فورًا.
• راقب أنماط طلبات POST غير الطبيعية.

المراجع

• منشور مدونة watchTowr - التحليل الأصلي