Exploit pour CVE-2025-5777 : Citrix NetScaler Memory Disclosure (CitrixBleed 2) [T1606]

Avertissement

• Destiné à une utilisation autorisée uniquement.

  • Il est de votre responsabilité de vérifier l’autorisation avant utilisation.

• Je ne suis pas responsable des poursuites judiciaires ou pénales engagées contre vous pour l’utilisation de cet outil.

Description

• Exploit externe et non authentifié pour fuite de mémoire dans Citrix NetScaler Gateway & AAA Virtual Server
• Exploite une validation insuffisante des entrées dans l’application web pour déclencher la charge utile, et des conditions de course TOCTOU pour récupérer des variables en mémoire

Découverte d’actifs et analyse d’exposition - (Red/Purple Team -> Organisation)

Méthode 1 : Dorking sur moteur de recherche

site:<targetDomainSuffix> intitle:"Netscaler AAA" | intitle:"Citrix Gateway"

Méthode 2 : Hunter.how

domain.suffix=="<targetDomainSuffix>" and header.server="snow_adc"

Utilisation de l’exploit

bash CVE-2025-5777.sh <targetDomain>

Pivotement - Opérations Red Team

Objectif - Pivoter de l’extérieur sans identifiants vers l’intérieur avec des identifiants utilisateur à faibles privilèges via VPN

Méthodologie

• Inspecter les corps de réponse et expérimenter avec le décodage et l’échappement pour gagner en visibilité sur l’actif - fichiers journaux, etc.
• Inspecter les en-têtes de réponse, répéter jusqu’à la capture des cookies de session utilisateur actifs en mémoire - Démonstration par horizon3.ai
• S’authentifier auprès du domaine cible

Références

• CVEdetails.com
• Tenable Plugins
• Vecteur d’attaque : CAPEC-29 - Exploitation des conditions de course Time-of-Check et Time-of-Use (TOCTOU)
• Émulation d’adversaire : T1606 - Forge Web Credentials
• EUVD-2025-18497
• Horizon3.ai - Analyse approfondie de l’exploit CitrixBleed 2