CVE-2025-5777 Citrix NetScaler Exploit per perdita di memoria

[!WARNING] Questo script è destinato solo a scopi educativi e di ricerca. Non utilizzarlo contro sistemi senza autorizzazione esplicita. L'accesso o i test non autorizzati sono illegali e non etici. Leggi il DISCLAIMER completo prima di utilizzare questo script.

Panoramica

Questo progetto dimostra una vulnerabilità di perdita di memoria (CVE-2025-5777) presente nei dispositivi Citrix NetScaler. La vulnerabilità deriva dalla gestione non corretta della memoria non inizializzata durante l'analisi di dati POST malformati, in particolare del parametro login. È ampiamente conosciuta come CitrixBleed 2 per la sua forte somiglianza con la famigerata CVE-2023-4966 (CitrixBleed originale), sfruttata pesantemente nel 2023

Quando il campo login è incluso senza segno di uguale o valore, una porzione di memoria di stack non inizializzata viene restituita all'interno del tag <InitialValue> nella risposta XML.

Dati trapelati: Ogni richiesta HTTP può far trapelare circa 127 byte di contenuto della RAM. Ripetendo queste richieste, gli attaccanti possono raccogliere dati sensibili dalla memoria, tra cui:

• Token di sessione (che consentono il dirottamento della sessione e il bypass dell'MFA).
• Dati di autenticazione.
• Porzioni di precedenti richieste HTTP.
• Credenziali in chiaro.
• Altre informazioni sensibili.

Utilizzo dello script

Requisiti / Dipendenze

pip3 install aiohttp colorama

Esegui lo script

python3 exploit.py <URL> [options]

Esempi

Utilizzo di base:

Output dettagliato con proxy:

Aiuto -h:

Come funziona

Questo script Python:

• Invia ripetute richieste POST malformate.
• Analizza le risposte XML.
• Estrae la memoria trapelata dai campi <InitialValue>.
• La visualizza in un formato hex-dump simile allo strumento xxd.
• Supporta proxy opzionale, threading e output dettagliato per l'analisi.

Impatto

• Dirottamento di sessione: La preoccupazione principale è il furto di token di sessione, che consente agli attaccanti di dirottare le sessioni utente attive e ottenere accesso non autorizzato a sistemi critici, anche se l'autenticazione multi-fattore (MFA) è abilitata.
• Bypass dell'autenticazione: I token di sessione o le credenziali rubati possono essere utilizzati per aggirare completamente il processo di autenticazione.
• Divulgazione dei dati: Le informazioni sensibili presenti in memoria possono essere esposte.

Difesa e mitigazione

• Aggiorna immediatamente al firmware sicuro più recente.
• Monitora la presenza di schemi anomali nelle richieste POST.

Riferimenti

• Articolo del blog di watchTowr - Analisi originale