sentinel-aidefense/cve-2025-5777CVE-2025-5777 Rapporto di ricerca
Analisi di ricerca di Sentinel AI Defense. Solo analisi difensiva — nessun exploit funzionante o PoC viene pubblicato qui.
Il sequel dell'originale CitrixBleed: una lettura fuori dai limiti su endpoint di autenticazione NetScaler ADC/Gateway che consegna direttamente nella risposta HTTP frammenti di memoria del server, inclusi token di sessione, a un attaccante non autenticato.
📄 Analisi completa: https://sentinelaidefense.com/posts/cve-2025-5777-citrixbleed-2.html
CVE-2025-5777 (comunemente indicata come CitrixBleed 2) è una vulnerabilità di lettura fuori dai limiti (CWE-125 / CWE-457) in Citrix NetScaler ADC e NetScaler Gateway. Deriva da una validazione dell'input insufficiente nell'elaborazione di richieste HTTP appositamente create per gli endpoint di autenticazione. Ciò consente a un attaccante remoto non autenticato di divulgare frammenti di memoria del server, inclusi dati sensibili come token di sessione (es., cookie NSC_AAAC).
La vulnerabilità è un seguito dell'originale CitrixBleed (CVE-2023-4966). Lo sfruttamento consente il dirottamento di sessione e il bypass dell'MFA senza richiedere ulteriore interazione. Punteggio CVSS v3/v4: 9.3 (Critico). È stato aggiunto al catalogo CISA KEV il 10 luglio 2025.
Vulnerabile quando configurato come Gateway (virtual server VPN, ICA Proxy, CVPN, RDP Proxy) o AAA virtual server:
Le build corrette sono state rilasciate a partire dal 17 giugno 2025 (con aggiornamenti a fine giugno/inizio luglio).
Il difetto risiede nel gestore delle richieste di autenticazione (in particolare l'endpoint /p/u/doAuthentication.do). Quando elabora richieste HTTP POST con un parametro malformato (es., login presente ma senza un valore appropriato o segno di uguale), il codice C backend salta la corretta inizializzazione di un buffer dello stack.
Di conseguenza, la risposta (spesso in un tag XML <InitialValue>) riflette ~127 byte di memoria dello stack non inizializzata da operazioni precedenti. Richieste ripetute producono diversi frammenti di memoria. Questo è un caso classico di uso di una variabile non inizializzata combinato con lettura fuori dai limiti a causa della mancanza di controllo dei limiti e di azzeramento dei buffer.
Non è necessaria autenticazione o interazione complessa — la perdita avviene pre-autenticazione.
NSC_AAAC) per dirottare sessioni VPN/Gateway attive, spesso bypassando l'MFA.Lo sfruttamento è stato osservato in natura già dal 23 giugno 2025 (prima del PoC pubblico del 4 luglio). Scansioni mirate e attività APT (incluso l'uso di zero-day) sono state confermate da GreyNoise, Amazon MadPot e altri.
/p/u/doAuthentication.do (o endpoint di autenticazione simili) con parametri malformati (valori mancanti, strutture di header/body insolite).NSC_AAAC estratti o attività di sessione insolita sui portali Gateway/VPN.<InitialValue>.Le regole YARA e le firme Snort/Suricata mirate ai pattern di richiesta sono disponibili dalle pubblicazioni di ricerca.
/p/u/doAuthentication.do con parametri come login (senza valore).NSC_AAAC=.Consultare il bollettino di sicurezza Citrix e gli avvisi CISA per elenchi completi e aggiornati di IoC.
Trattare questo come ad alta priorità a causa della facilità di sfruttamento e dell'impatto diretto sull'infrastruttura di accesso remoto.
Questo repository è pubblicato esclusivamente per scopi difensivi ed educativi. Contiene analisi, logica di rilevamento e guida alla mitigazione. Non viene fornito alcun codice exploit funzionante. Utilizzare queste informazioni solo su sistemi che si è autorizzati a testare e difendere.
Mantenuto da Sentinel AI Defense · Risultati condivisi responsabilmente nell'ambito della divulgazione coordinata.