citrixInspector

citrixInspector.py (precedentemente cve_2023_3519_inspector.py) è uno scanner di vulnerabilità passivo basato su Python per appliance Citrix ADC / Citrix Gateway / NetScaler ADC / NetScaler Gateway. Identifica l'esatta build firmware di un target senza autenticazione e segnala ogni CVE nota a cui quella build è vulnerabile.

⚠️ Beta: Il rilevamento per le CVE più recenti del 2025/2026 (CitrixBleed 2/3, CVE-2026-8452, CVE-2026-88771/88772) è in beta. Si basa sulla capacità di identificare l'esatta build firmware tramite le tecniche del timestamp GZIP o vhash; quando nessuna delle due funziona su un target, lo scanner ricade su un'euristica molto più grossolana, limitata a CVE-2023-3519, e non segnalerà affatto le CVE più recenti (vedere la sezione Checks Performed di seguito). Trattare i risultati per le CVE più recenti come puramente informativi.

L'output è stato eseguito contro un test harness simulato. L'hostname è solo un segnaposto.

Aggiornamenti Recenti (2026)

• Rinominato cve_2023_3519_inspector.py in citrixInspector.py per riflettere la sua portata più ampia e multi-CVE.
• Aggiunto il fingerprinting della versione tramite timestamp GZIP (/vpn/js/rdx/core/lang/rdx_en.json.gz) come tecnica primaria e più affidabile di identificazione della build senza autenticazione, poiché l'hash legacy della risorsa statica v=<hash> "non è più sempre presente" sulle build moderne.
• Aggiornate e notevolmente ampliate le tabelle di lookup version-hash e GZIP-timestamp, che ora coprono le build da agosto 2018 a novembre 2025 (in precedenza si fermavano a ~ottobre 2023, senza copertura 14.x).
• Una volta identificata una build esatta, lo scanner ora la verifica rispetto a 10 CVE invece che solo CVE-2023-3519: CVE-2025-5349/5777 ("CitrixBleed 2"), CVE-2025-6543, CVE-2025-7775/7776/8424 ("CitrixBleed 3"), CVE-2026-8452 e CVE-2026-88771/88772 (attivamente sfruttate, CISA KEV). Vedere "CVE Coverage" di seguito.
• Sostituita l'euristica della patch CVE-2023-3519 (basata sull'header Last-Modified della pagina) con un confronto preciso delle soglie di versione ogni volta che una build esatta è nota, ricadendo sull'euristica originale solo quando nessuna build può essere identificata.
• Aggiunta la funzionalità per analizzare il file /vpn/pluginlist.xml per determinare controlli più accurati su patch o vulnerabilità
• Aggiunta la funzionalità per verificare opzionalmente la presenza di comuni IOC di web shell sul server target.
• Implementata la logica nello scanner per determinare se il target è verificato come correttamente patchato. Grazie @UK_Daniel_Card & @DTCERT

Installazione

Questo script richiede Python 3.6+ e i seguenti pacchetti Python:

• requests
• BeautifulSoup4
• argparse
• re
• logging
• warnings

Per installare i pacchetti richiesti, eseguire:

git clone https://github.com/securekomodo/citrixInspector.git
cd citrixInspector
pip install -r requirements.txt
python citrixInspector.py -u <target_url>

Utilizzo

    Author: Bryan Smith (@securekomodo)
    ------------------------
    _________ .__  __         .__                              
    \_   ___ \|__|/  |________|__|__  ___                      
    /    \  \/|  \   __\_  __ \  \  \/  /                      
    \     \___|  ||  |  |  | \/  |>    <                       
     \______  /__||__|  |__|  |__/__/\_ \                      
        \/                         \/                      
    .___                                     __                
    |   | ____   ____________   ____   _____/  |_  ___________ 
    |   |/    \ /  ___/\____ \_/ __ \_/ ___\   __\/  _ \_  __ \
    |   |   |  \___ \ |  |_> >  ___/\  \___|  | (  <_> )  | \/
    |___|___|  /____  >|   __/ \___  >\___  >__|  \____/|__|   
             \/     \/ |__|        \/     \/                                

       citrixInspector
       ------------------------
       
usage: citrixInspector.py [-h] (-u URL | -f FILE) [--ioc-check] [-l LOG]

Fingerprint and check Citrix ADC / NetScaler ADC & Gateway for known CVEs.

optional arguments:
  -h, --help            show this help message and exit
  -u URL, --url URL     The URL of the Citrix/NetScaler Gateway to check.
  -f FILE, --file FILE  A file containing a list of URLs to check.
  --ioc-check           Slower. Performs IOC (Indicator of Compromise) check.
  -l LOG, --log LOG     Log file to write the output.

Lo script citrixInspector.py può accettare come input un singolo URL o un file con un elenco di URL. Esegue quindi una serie di controlli per determinare la potenziale vulnerabilità dei Citrix/NetScaler Gateway specificati:

# Check a single URL
python citrixInspector.py --url https://example.com

# Check multiple URLs from a file
python citrixInspector.py --file urls.txt

# Check multiple URLs from a file and check for IOCs
python citrixInspector.py --file urls.txt --ioc-check

Per specificare un file di log per l'output, usare l'opzione --log:

python citrixInspector.py --url https://example.com --log my_log.log

Per l'aiuto:

python citrixInspector.py --help

Controlli Eseguiti

Lo script citrixInspector.py esegue i seguenti controlli sui siti web target:

• Fingerprinting della versione tramite timestamp GZIP (primario): legge il campo header GZIP MTIME (RFC 1952) di /vpn/js/rdx/core/lang/rdx_en.json.gz, che viene impostato al momento della compilazione del firmware e identifica in modo univoco l'esatta build. Questa è la tecnica attualmente raccomandata dal Fox-IT Security Research Team, poiché la tecnica vhash di seguito "non è più sempre presente" sulle build moderne.
• Fingerprinting della versione tramite vhash (secondario/legacy): verifica la presenza di specifici hash v=<md5> negli URL delle risorse statiche incorporate nel contenuto HTML. Questo si basa sullo straordinario lavoro di Fox-IT (NCC Group) risalente al 2022: https://blog.fox-it.com/2022/12/28/cve-2022-27510-cve-2022-27518-measuring-citrix-adc-gateway-version-adoption-on-the-internet/
• Verifica la versione recente del file pluginlist.xml situato in /vpn/pluginlist.xml
• (Opzionale) Verifica la presenza di comuni web shell note per essere affiliate allo sfruttamento in the wild
• Verifica se il titolo HTTP è "Citrix Gateway" / "NetScaler Gateway" / "NetScaler AAA" / "Digital Workplace"
• Verifica la presenza di un commento HTML contenente il testo "frame-busting" che è stato trovato come artefatto su installazioni citrix più vecchie/legacy
• Verifica la presenza di icone specifiche associate a Citrix Gateway

Ogni volta che una build esatta può essere identificata (tramite il controllo del timestamp GZIP, il controllo vhash o pluginlist.xml), lo script verifica quella build rispetto a ogni CVE nella tabella sottostante e segnala tutte quelle applicabili ([CERTAIN]). Quando nessuna build esatta può essere identificata, ricade sulle euristiche originali basate su titolo/icona/commento/header ([FIRM] / [TENTATIVE] / [CITRIX DETECTED]), limitate solo a CVE-2023-3519 come prima.

Copertura CVE