CVE-2023-3519 Inspector

O cve_2023_3519_inspector.py é um scanner de vulnerabilidades baseado em Python para detectar a vulnerabilidade CVE-2023-3519 em Citrix Gateways. Ele realiza uma análise passiva e fingerprinting dos sites-alvo para avaliar sua vulnerabilidade com base em uma série de verificações.

Atualizações Recentes

• Adicionada funcionalidade para analisar o arquivo /vpn/pluginlist.xml e determinar verificações mais precisas se o sistema está corrigido (patched) ou vulnerável
• Adicionada funcionalidade para verificar opcionalmente IOCs (Indicadores de Comprometimento) de web shells comuns no servidor alvo.
• Implementada lógica no scanner para determinar se o alvo está confirmadamente corrigido. Agradecimentos a @UK_Daniel_Card e @DTCERT

Instalação

Este script requer Python 3.6+ e os seguintes pacotes Python:

• requests
• BeautifulSoup4
• argparse
• re
• logging
• warnings

Para instalar os pacotes necessários, execute:

git clone https://github.com/securekomodo/citrixInspector.git
cd citrixInspector
pip install -r requirements.txt
python cve_2023_3519_inspector.py -u <target_url>

Uso

    Author: Bryan Smith (@securekomodo)
    ------------------------
    _________ .__  __         .__                              
    \_   ___ \|__|/  |________|__|__  ___                      
    /    \  \/|  \   __\_  __ \  \  \/  /                      
    \     \___|  ||  |  |  | \/  |>    <                       
     \______  /__||__|  |__|  |__/__/\_ \                      
        \/                         \/                      
    .___                                     __                
    |   | ____   ____________   ____   _____/  |_  ___________ 
    |   |/    \ /  ___/\____ \_/ __ \_/ ___\   __\/  _ \_  __ \
    |   |   |  \___ \ |  |_> >  ___/\  \___|  | (  <_> )  | \/
    |___|___|  /____  >|   __/ \___  >\___  >__|  \____/|__|   
             \/     \/ |__|        \/     \/                                

       CVE-2023-3519 Inspector
       ------------------------
       
usage: cve_2023_3519_inspector.py [-h] (-u URL | -f FILE) [--ioc-check] [-l LOG]

Check for vulnerabilities in Citrix Gateway.

optional arguments:
  -h, --help            show this help message and exit
  -u URL, --url URL     The URL of the Citrix Gateway to check.
  -f FILE, --file FILE  A file containing a list of URLs to check.
  --ioc-check           Slower. Performs IOC (Indicator of Compromise) check.
  -l LOG, --log LOG     Log file to write the output.

O script cve_2023_3519_inspector.py pode aceitar como entrada uma única URL ou um arquivo contendo uma lista de URLs. Em seguida, ele executa uma série de verificações para determinar a vulnerabilidade potencial dos Citrix Gateways fornecidos:

# Verifica uma única URL
python cve_2023_3519_inspector.py --url https://example.com

# Verifica múltiplas URLs a partir de um arquivo
python cve_2023_3519_inspector.py --file urls.txt

# Verifica múltiplas URLs a partir de um arquivo e verifica IOCs
python cve_2023_3519_inspector.py --file urls.txt --ioc-check

Para especificar um arquivo de log para a saída, use a opção --log:

python cve_2023_3519_inspector.py --url https://example.com --log my_log.log

Para ajuda:

python cve_2023_3519_inspector.py --help

Verificações Realizadas

O script cve_2023_3519_inspector.py realiza as seguintes verificações nos sites-alvo:

• Verifica se há a versão recente do arquivo pluginslist.xml localizado em /vpn/pluginlist.xml
• (Opcional) Verifica a presença de web shells comuns conhecidas por estarem associadas à exploração em ataques reais
• Verifica se o título HTTP é "Citrix Gateway"
• Verifica a presença de um comentário HTML contendo o texto "frame-busting", que foi encontrado como um artefato em instalações Citrix mais antigas/legadas
• Verifica a presença de ícones específicos associados ao Citrix Gateway
• Verifica a presença de vhashes específicos no conteúdo HTML. Isso é baseado no incrível trabalho do Fox It NCC Group em 2022: https://blog.fox-it.com/2022/12/28/cve-2022-27510-cve-2022-27518-measuring-citrix-adc-gateway-version-adoption-on-the-internet/

Dependendo das verificações aprovadas, o script infere se o alvo é um Citrix Gateway e se está vulnerável, e exibe o resultado no console e, opcionalmente, em um arquivo de log.

Contribuindo

Pull requests são bem-vindos. Para mudanças significativas, por favor abra uma issue primeiro para discutir o que você gostaria de alterar.

Aviso Legal

Este projeto é feito apenas para fins educacionais e de testes éticos. O uso do citrixInspector/cve_2023_3519_inspector para atacar alvos sem consentimento mútuo prévio é ilegal. É responsabilidade do usuário final obedecer a todas as leis locais, estaduais e federais aplicáveis. Os desenvolvedores não assumem nenhuma responsabilidade e não são responsáveis por qualquer uso indevido ou dano causado por este programa.

Licença

O projeto é licenciado sob a Licença MIT.

Autor

Bryan Smith

• Twitter: https://twitter.com/securekomodo
• Bugcrowd/Hackerone: @d4rkm0de