CitrixBleed2 - Escáner PoC para CVE-2025-5777

Este repositorio contiene un escáner avanzado de Prueba de Concepto (PoC) para CVE-2025-5777, denominado CitrixBleed2, una vulnerabilidad de divulgación de memoria que afecta a Citrix NetScaler ADC y Gateway.

Realicé algunos cambios al PoC original; este script se basa en la investigación publicada originalmente por WatchTowr Labs, con mejoras para una extracción de información más profunda y un análisis seguro de fugas de memoria.

Descargo de responsabilidad: Esta herramienta se proporciona únicamente con fines educativos y de pruebas autorizadas. El uso no autorizado contra sistemas que no poseas o para los que no tengas permiso explícito para realizar pruebas es ilegal.

Acerca de la Vulnerabilidad - CVE-2025-5777

CVE-2025-5777 es una vulnerabilidad de divulgación de memoria en Citrix NetScaler ADC y Gateway cuando está configurado como Gateway (servidor virtual VPN, proxy ICA, CVPN, proxy RDP).

Al enviar solicitudes HTTP POST especialmente diseñadas al endpoint de autenticación, un atacante no autenticado puede provocar la divulgación de memoria, filtrando datos sensibles de la memoria heap.

Este problema es una continuación del "CitrixBleed" original (CVE-2023-4966) y fue divulgado en julio de 2025.

Resumen Técnico:

• Endpoint vulnerable: /p/u/doAuthentication.do
• Vector de ataque: Red (no autenticado)
• Impacto: Divulgación de contenido de memoria
• Puntuación CVSS: 7.5 (Alta)
• Fuente de divulgación: WatchTowr Labs
• DoublePulsar: DoubblePulsar

El descubrimiento original y el análisis en profundidad fueron realizados por el equipo de investigación de WatchTowr Labs. Este PoC se inspiró en su publicación y fue mejorado por mí para detección extendida, registro de evidencia y análisis de memoria.

Características

• Explota la vulnerabilidad de divulgación de memoria CVE-2025-5777 (CitrixBleed2)
• Recopila contenido de memoria filtrado mediante solicitudes POST /p/u/doAuthentication.do manipuladas
• Extrae datos sensibles como:
  • Cookies de sesión
  • Tokens
  • Cabeceras de autenticación básica
  • Contraseñas y JWT
• Muestra y registra metadatos del certificado TLS (subject, emisor, validez)
• Redacta automáticamente marcas conocidas de organizaciones específicas (por ejemplo, eliminó menciones específicas de proveedores)
• Guarda las fugas con un archivo de salida con marca de tiempo para evitar sobrescrituras

Uso

Objetivo único

python3 cve-2025-5777.py -t <target> -r 5 -T 5 -v

Lista de objetivos

python3 cve-2025-5777.py -l targets.txt -r 3 -T 10

Personalización del archivo de salida

python3 cve-2025-5777.py -t <target> -o custom_output.txt

Si no se especifica -o, se crea automáticamente un archivo con marca de tiempo (por ejemplo, citrix_leaks_20250705_154312.txt).

Técnica de Detección

La herramienta envía solicitudes de autenticación malformadas a:

POST /p/u/doAuthentication.do HTTP/1.0

Con un payload corto y un User-Agent específico para provocar la fuga de memoria.

Analiza la respuesta cruda en busca de datos de alta entropía, metadatos de certificados y contenido sensible (mediante expresiones regulares).

Aviso Legal

• Esta herramienta solo debe usarse en pruebas de penetración autorizadas o en entornos controlados.
• Todos los usuarios son los únicos responsables de garantizar un uso legal y ético.

Créditos

• Descubrimiento y artículo original: WatchTowr Labs
• Autor del PoC mejorado: Guilherme Nocera (@guilhermenocera1)
• Basado en investigación de código abierto y elaborado para profesionales de seguridad brasileños y globales.

Relacionados

• Detalles del CVE - CVE-2025-5777
• Avisos de seguridad de Citrix
• Artículo de WatchTowr Labs

Licencia

Este repositorio se publica bajo la Licencia MIT.

Mantente seguro. Prueba de manera responsable.