citrixInspector

citrixInspector.py (früher cve_2023_3519_inspector.py) ist ein Python-basierter, passiver Schwachstellen- Scanner für Citrix ADC / Citrix Gateway / NetScaler ADC / NetScaler Gateway Appliances. Er fingerprintet den exakten Firmware-Build eines Ziels ohne Authentifizierung und meldet jede bekannte CVE, für die dieser Build anfällig ist.

⚠️ Beta: Die Erkennung für die neueren CVEs aus 2025/2026 (CitrixBleed 2/3, CVE-2026-8452, CVE-2026-88771/88772) befindet sich in Beta. Sie beruht darauf, den exakten Firmware-Build über die GZIP-Timestamp- oder vhash-Techniken fingerprinten zu können; wenn keine von beiden bei einem Ziel funktioniert, fällt der Scanner auf eine deutlich gröbere, nur auf CVE-2023-3519 beschränkte Heuristik zurück und wird die neueren CVEs überhaupt nicht melden (siehe Abschnitt „Durchgeführte Prüfungen" unten). Behandle die Ergebnisse für die neueren CVEs nur als informativ.

Die Ausgabe wurde gegen eine simulierte Testumgebung ausgeführt. Der Hostname ist nur ein Platzhalter.

Aktuelle Updates (2026)

• cve_2023_3519_inspector.py wurde in citrixInspector.py umbenannt, um den breiteren, Multi-CVE-Umfang widerzuspiegeln.
• GZIP-Timestamp-Version-Fingerprinting (/vpn/js/rdx/core/lang/rdx_en.json.gz) als primäre, zuverlässigste unauthentifizierte Build-Identifikationstechnik hinzugefügt, da der alte v=<hash>-Static- Resource-Hash auf modernen Builds „nicht mehr immer vorhanden" ist.
• Die Version-Hash- und GZIP-Timestamp-Lookup-Tabellen wurden aktualisiert und stark erweitert; sie decken nun Builds von August 2018 bis November 2025 ab (zuvor endeten sie bei ~Oktober 2023, ohne 14.x-Abdeckung).
• Sobald ein exakter Build identifiziert ist, prüft der Scanner ihn nun gegen 10 CVEs statt nur gegen CVE-2023-3519: CVE-2025-5349/5777 („CitrixBleed 2"), CVE-2025-6543, CVE-2025-7775/7776/8424 („CitrixBleed 3"), CVE-2026-8452 und CVE-2026-88771/88772 (aktiv ausgenutzt, CISA KEV). Siehe „CVE-Abdeckung" unten.
• Die CVE-2023-3519-Patch-Heuristik (Schätzung anhand des Last-Modified-Headers der Seite) wurde durch einen präzisen Versionsschwellenwert-Vergleich ersetzt, wann immer ein exakter Build bekannt ist; nur wenn kein Build identifiziert werden kann, wird auf die ursprüngliche Heuristik zurückgegriffen.
• Funktionalität zum Parsen der Datei /vpn/pluginlist.xml hinzugefügt, um genauere Prüfungen zu ermöglichen, ob gepatcht oder anfällig
• Funktionalität hinzugefügt, um optional auf dem Zielserver nach gängigen Web-Shell-IOCs zu suchen.
• Logik im Scanner implementiert, um festzustellen, ob das Ziel nachweislich gepatcht ist. Danke @UK_Daniel_Card & @DTCERT

Installation

Dieses Skript erfordert Python 3.6+ und die folgenden Python-Pakete:

• requests
• BeautifulSoup4
• argparse
• re
• logging
• warnings

Um die erforderlichen Pakete zu installieren, führe aus:

git clone https://github.com/securekomodo/citrixInspector.git
cd citrixInspector
pip install -r requirements.txt
python citrixInspector.py -u <target_url>

Verwendung

    Author: Bryan Smith (@securekomodo)
    ------------------------
    _________ .__  __         .__                              
    \_   ___ \|__|/  |________|__|__  ___                      
    /    \  \/|  \   __\_  __ \  \  \/  /                      
    \     \___|  ||  |  |  | \/  |>    <                       
     \______  /__||__|  |__|  |__/__/\_ \                      
        \/                         \/                      
    .___                                     __                
    |   | ____   ____________   ____   _____/  |_  ___________ 
    |   |/    \ /  ___/\____ \_/ __ \_/ ___\   __\/  _ \_  __ \
    |   |   |  \___ \ |  |_> >  ___/\  \___|  | (  <_> )  | \/
    |___|___|  /____  >|   __/ \___  >\___  >__|  \____/|__|   
             \/     \/ |__|        \/     \/                                

       citrixInspector
       ------------------------
       
usage: citrixInspector.py [-h] (-u URL | -f FILE) [--ioc-check] [-l LOG]

Fingerprint and check Citrix ADC / NetScaler ADC & Gateway for known CVEs.

optional arguments:
  -h, --help            show this help message and exit
  -u URL, --url URL     The URL of the Citrix/NetScaler Gateway to check.
  -f FILE, --file FILE  A file containing a list of URLs to check.
  --ioc-check           Slower. Performs IOC (Indicator of Compromise) check.
  -l LOG, --log LOG     Log file to write the output.

Das Skript citrixInspector.py kann entweder eine einzelne URL oder eine Datei mit einer Liste von URLs als Eingabe akzeptieren. Es führt dann eine Reihe von Prüfungen durch, um die potenzielle Anfälligkeit der angegebenen Citrix/NetScaler Gateways zu bestimmen:

# Check a single URL
python citrixInspector.py --url https://example.com

# Check multiple URLs from a file
python citrixInspector.py --file urls.txt

# Check multiple URLs from a file and check for IOCs
python citrixInspector.py --file urls.txt --ioc-check

Um eine Log-Datei für die Ausgabe anzugeben, verwende die Option --log:

python citrixInspector.py --url https://example.com --log my_log.log

Für Hilfe:

python citrixInspector.py --help

Durchgeführte Prüfungen

Das Skript citrixInspector.py führt die folgenden Prüfungen auf den Ziel-Websites durch:

• GZIP-Timestamp-Version-Fingerprinting (primär): liest das GZIP-MTIME-Header-Feld (RFC 1952) von /vpn/js/rdx/core/lang/rdx_en.json.gz, das zur Firmware-Kompilierungszeit gesetzt wird und den exakten Build eindeutig identifiziert. Dies ist die aktuell empfohlene Technik des Fox-IT Security Research Team, da die unten beschriebene vhash-Technik auf modernen Builds „nicht mehr immer vorhanden" ist.
• vhash-Version-Fingerprinting (sekundär/legacy): prüft auf das Vorhandensein spezifischer v=<md5>- Hashes in statischen Ressourcen-URLs, die im HTML-Inhalt eingebettet sind. Dies basiert auf der großartigen Arbeit von Fox-IT (NCC Group) aus dem Jahr 2022: https://blog.fox-it.com/2022/12/28/cve-2022-27510-cve-2022-27518-measuring-citrix-adc-gateway-version-adoption-on-the-internet/
• Prüft auf die aktuelle Version der Datei pluginlist.xml unter /vpn/pluginlist.xml
• (Optional) Prüft auf das Vorhandensein gängiger Web-Shells, die bekanntermaßen mit Ausnutzung in freier Wildbahn in Verbindung stehen
• Prüft, ob der HTTP-Titel „Citrix Gateway" / „NetScaler Gateway" / „NetScaler AAA" / „Digital Workplace" lautet
• Prüft auf das Vorhandensein eines HTML-Kommentars mit dem Text „frame-busting", der als Artefakt auf älteren/legacy Citrix-Installationen gefunden wurde
• Prüft auf das Vorhandensein spezifischer Icons, die mit Citrix Gateway in Verbindung stehen

Wann immer ein exakter Build identifiziert werden kann (über die GZIP-Timestamp-Prüfung, die vhash-Prüfung oder pluginlist.xml), prüft das Skript diesen Build gegen jede CVE in der folgenden Tabelle und meldet alle zutreffenden ([CERTAIN]). Wenn kein exakter Build identifiziert werden kann, fällt es auf die ursprünglichen Titel-/Icon-/Kommentar-/Header-Heuristiken zurück ([FIRM] / [TENTATIVE] / [CITRIX DETECTED]), beschränkt nur auf CVE-2023-3519 wie zuvor.

CVE-Abdeckung