Exploit para CVE-2025-5777: Divulgação de Memória do Citrix NetScaler (CitrixBleed 2) [T1606]

Aviso Legal

• Destinado apenas para uso autorizado.

  • É sua responsabilidade verificar a autorização antes do uso.

• Não sou responsável por quaisquer processos legais ou criminais movidos contra você por usar isto.

Descrição

• Exploit externo, não autenticado, para vazamento de memória no Citrix NetScaler Gateway & Servidor Virtual AAA
• Aproveita a validação insuficiente de entrada no aplicativo web para disparar o payload e condições de corrida TOCTOU para extrair variáveis da memória

Descoberta de Ativos e Análise de Exposição - (Red/Purple Team -> Organização)

Método 1: Dorking em Mecanismos de Busca

site:<targetDomainSuffix> intitle:"Netscaler AAA" | intitle:"Citrix Gateway"

Método 2: Hunter.how

domain.suffix=="<targetDomainSuffix>" and header.server="snow_adc"

Uso do Exploit

bash CVE-2025-5777.sh <targetDomain>

Pivoting - Operações de Red Team

Objetivo - Pivot externo sem credenciais -> interno com credenciais de usuário de baixo privilégio via VPN

Metodologia

• Inspecione os corpos das respostas e experimente decodificação e escaping para obter visibilidade sobre o ativo - arquivos de log, etc.
• Inspecione os cabeçalhos das respostas, repita até capturar cookies de sessão de usuário ativos na memória - Demonstração por horizon3.ai
• Autentique-se no domínio de destino

Referências

• CVEdetails.com
• Tenable Plugins
• Vetor de Ataque: CAPEC-29 - Aproveitando Condições de Corrida Time-of-Check e Time-of-Use (TOCTOU)
• Emulação de Adversário: T1606 - Forjar Credenciais da Web
• EUVD-2025-18497
• Horizon3.ai - Análise Aprofundada do Exploit CitrixBleed 2