Exploit per CVE-2025-5777: Citrix NetScaler Memory Disclosure (CitrixBleed 2) [T1606]

Disclaimer

• Inteso solo per uso autorizzato.

  • È tua responsabilità verificare l'autorizzazione prima dell'uso.

• Non sono responsabile per eventuali procedimenti legali o penali intentati contro di te per l'uso di questo.

Descrizione

• Exploit esterno e non autenticato per la perdita di memoria in Citrix NetScaler Gateway & AAA Virtual Server
• Sfrutta la convalida dell'input insufficiente nell'app web per innescare il payload e le TOCTOU Race Conditions per estrarre variabili in memoria

Analisi della Scoperta e dell'Esposizione delle Risorse - (Red/Purple Team -> Organizzazione)

Metodo 1: Ricerca tramite Dorking sui motori di ricerca

site:<dominioTarget> intitle:"Netscaler AAA" | intitle:"Citrix Gateway"

Metodo 2: Hunter.how

domain.suffix=="<dominioTarget>" and header.server="snow_adc"

Utilizzo dell'Exploit

bash CVE-2025-5777.sh <dominioTarget>

Pivoting - Operazioni del Red Team

Obiettivo - Passare dall'esterno senza credenziali all'interno con credenziali utente a bassi privilegi tramite VPN

Metodologia

• Ispezionare i corpi delle risposte e sperimentare con decodifica e escaping per ottenere visibilità sulla risorsa - file di log, ecc.
• Ispezionare le intestazioni delle risposte, ripetere fino alla cattura dei cookie di sessione utente attivi in memoria - Dimostrazione di horizon3.ai
• Autenticarsi al dominio target

Riferimenti

• CVEdetails.com
• Plug-in Tenable
• Vettore d'attacco: CAPEC-29 - Sfruttare le Race Conditions Time-of-Check e Time-of-Use (TOCTOU)
• Emulazione Avversaria: T1606 - Forgiare Credenziali Web
• EUVD-2025-18497
• Horizon3.ai - Approfondimento sull'Exploit CitrixBleed 2