Exploit para CVE-2025-5777: Divulgación de memoria de Citrix NetScaler (CitrixBleed 2) [T1606]

Aviso legal

• Destinado únicamente para uso autorizado.

  • Es su responsabilidad verificar la autorización antes de su uso.

• No soy responsable de ningún proceso legal o penal interpuesto contra usted por usar esto.

Descripción

• Exploit externo y no autenticado para la fuga de memoria en Citrix NetScaler Gateway y el servidor virtual AAA.
• Aprovecha la validación de entrada insuficiente en la aplicación web para lanzar el payload y las condiciones de carrera TOCTOU para extraer variables de la memoria.

Descubrimiento de activos y análisis de exposición - (Red/Purple Team -> Organización)

Método 1: Dorking en motores de búsqueda

site:<targetDomainSuffix> intitle:"Netscaler AAA" | intitle:"Citrix Gateway"

Método 2: Hunter.how

domain.suffix=="<targetDomainSuffix>" and header.server="snow_adc"

Uso del exploit

bash CVE-2025-5777.sh <targetDomain>

Pivoteo - Operaciones de Red Team

Objetivo: Pivotar externamente sin credenciales -> interno con credenciales de usuario de bajos privilegios a través de VPN

Metodología

• Inspeccione los cuerpos de las respuestas y experimente con decodificación y escape para obtener visibilidad del activo: archivos de registro, etc.
• Inspeccione los encabezados de las respuestas, repita hasta capturar cookies de sesión activa de usuarios en la memoria - Demostración de horizon3.ai
• Autentíquese en el dominio objetivo

Referencias

• CVEdetails.com
• Tenable Plugins
• Vector de ataque: CAPEC-29 - Aprovechamiento de las condiciones de carrera Time-of-Check y Time-of-Use (TOCTOU)
• Emulación de adversario: T1606 - Forjar credenciales web
• EUVD-2025-18497
• Horizon3.ai - Análisis en profundidad del exploit CitrixBleed 2