CitrixBleed2 - Scanner PoC para CVE-2025-5777

Este repositório contém um scanner avançado de Prova de Conceito (PoC) para a CVE-2025-5777, apelidada de CitrixBleed2, uma vulnerabilidade de divulgação de memória que afeta o Citrix NetScaler ADC e Gateway.

Fiz algumas alterações no PoC original; este script é baseado em pesquisa publicada originalmente pelo WatchTowr Labs, com aprimoramentos para extração de informações mais profunda e análise segura de vazamento de memória.

Aviso: Esta ferramenta é fornecida apenas para fins educacionais e testes autorizados. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal.

Sobre a Vulnerabilidade - CVE-2025-5777

CVE-2025-5777 é uma vulnerabilidade de divulgação de memória no Citrix NetScaler ADC e Gateway quando configurado como Gateway (servidor virtual VPN, proxy ICA, CVPN, proxy RDP).

Ao enviar requisições HTTP POST especialmente elaboradas para o endpoint de autenticação, um atacante não autenticado pode desencadear a divulgação de memória — vazando dados sensíveis da memória heap.

Este problema é uma continuação do "CitrixBleed" original (CVE-2023-4966), e foi divulgado em julho de 2025.

Resumo Técnico:

• Endpoint Vulnerável: /p/u/doAuthentication.do
• Vetor de Ataque: Rede (não autenticado)
• Impacto: Divulgação de conteúdo de memória
• Pontuação CVSS: 7.5 (Alto)
• Fonte de Divulgação: WatchTowr Labs
• DoublePulsar: DoubblePulsar

A descoberta original e a análise aprofundada foram conduzidas pela equipe de pesquisa do WatchTowr Labs. Este PoC foi inspirado pela publicação deles e aprimorado para detecção estendida, registro de evidências e análise de memória por mim.

Funcionalidades

• Explora a vulnerabilidade de divulgação de memória CVE-2025-5777 (CitrixBleed2)

• Coleta conteúdo de memória vazado através de requisições POST /p/u/doAuthentication.do elaboradas

• Extrai dados sensíveis como:

  • Cookies de sessão
  • Tokens
  • Cabeçalhos de Autenticação Básica
  • Senhas e JWTs

• Exibe e registra metadados de certificado TLS (sujeito, emissor, validade)

• Redige automaticamente marcas conhecidas de organizações específicas (por exemplo, removeu menções a fornecedores específicos)

• Salva vazamentos com um arquivo de saída com timestamp para evitar sobrescritas

Uso

Alvo Único

python3 cve-2025-5777.py -t <target> -r 5 -T 5 -v

Lista de Alvos

python3 cve-2025-5777.py -l targets.txt -r 3 -T 10

Personalização do Arquivo de Saída

python3 cve-2025-5777.py -t <target> -o custom_output.txt

Se -o não for especificado, um arquivo com timestamp é criado automaticamente (ex.: citrix_leaks_20250705_154312.txt).

Técnica de Detecção

A ferramenta envia requisições de autenticação malformadas para:

POST /p/u/doAuthentication.do HTTP/1.0

Com um payload curto e um User-Agent específico para desencadear o vazamento de memória.

Ela analisa a resposta bruta em busca de dados de alta entropia, metadados de certificado e conteúdo sensível (via regex).

Aviso Legal

• Esta ferramenta deve ser usada apenas em testes de penetração autorizados ou ambientes controlados.
• Todos os usuários são os únicos responsáveis por garantir o uso legal e ético.

Créditos

• Descoberta e artigo original: WatchTowr Labs
• Autor do PoC aprimorado: Guilherme Nocera (@guilhermenocera1)
• Baseado em pesquisa de código aberto e elaborado para profissionais de segurança brasileiros e globais.

Relacionados

• Detalhes da CVE - CVE-2025-5777
• Avisos de segurança da Citrix
• Artigo do WatchTowr Labs

Licença

Este repositório é distribuído sob a licença MIT.

Mantenha-se seguro. Teste com responsabilidade.