CitrixBleed2 - CVE-2025-5777 Сканер PoC

Этот репозиторий содержит продвинутый сканер Proof of Concept (PoC) для CVE-2025-5777, названный CitrixBleed2, уязвимости раскрытия памяти, затрагивающей Citrix NetScaler ADC и Gateway.

Я внес некоторые изменения в оригинальный PoC, этот скрипт основан на исследованиях, первоначально опубликованных WatchTowr Labs, с улучшениями для более глубокого извлечения информации и безопасного анализа утечки памяти.

Отказ от ответственности: Этот инструмент предоставляется только для образовательных и авторизованных тестовых целей. Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения, является незаконным.

---

О уязвимости - CVE-2025-5777

CVE-2025-5777 — это уязвимость раскрытия памяти в Citrix NetScaler ADC и Gateway при настройке в качестве шлюза (VPN виртуальный сервер, ICA-прокси, CVPN, RDP-прокси).

Отправляя специально сформированные HTTP POST запросы к конечной точке аутентификации, неаутентифицированный злоумышленник может вызвать раскрытие памяти — утечку конфиденциальных данных из кучи.

Эта проблема является продолжением оригинального "CitrixBleed" (CVE-2023-4966) и была раскрыта в июле 2025 года.

Техническое резюме:

• Уязвимая конечная точка: /p/u/doAuthentication.do
• Вектор атаки: Сеть (неаутентифицированная)
• Воздействие: Раскрытие содержимого памяти
• Оценка CVSS: 7.5 (Высокая)
• Источник раскрытия: WatchTowr Labs
• DoublePulsar: DoubblePulsar

Первоначальное обнаружение и углубленный анализ были проведены исследовательской командой WatchTowr Labs. Этот PoC был вдохновлен их публикацией и расширен мной для расширенного обнаружения, регистрации доказательств и анализа памяти.

---

Возможности

• Эксплуатирует уязвимость раскрытия памяти CVE-2025-5777 (CitrixBleed2)
• Собирает утекшее содержимое памяти с помощью специально сформированных запросов POST /p/u/doAuthentication.do
• Извлекает конфиденциальные данные, такие как:
  • Сессионные cookies
  • Токены
  • Заголовки Basic Auth
  • Пароли и JWT
• Отображает и сохраняет метаданные TLS-сертификата (субъект, издатель, срок действия)
• Автоматически редактирует известный брендинг от определенных организаций (например, удаляет упоминания конкретных вендоров)
• Сохраняет утечки с выходным файлом с отметкой времени для предотвращения перезаписи

---

Использование

Одиночная цель

python3 cve-2025-5777.py -t <target> -r 5 -T 5 -v

Список целей

python3 cve-2025-5777.py -l targets.txt -r 3 -T 10

Настройка выходного файла

python3 cve-2025-5777.py -t <target> -o custom_output.txt

Если -o не указан, файл с отметкой времени создается автоматически (например, citrix_leaks_20250705_154312.txt).

---

Метод обнаружения

Инструмент отправляет некорректные запросы аутентификации на:

POST /p/u/doAuthentication.do HTTP/1.0

С коротким payload и конкретным User-Agent для запуска утечки памяти.

Он анализирует сырой ответ на предмет данных с высокой энтропией, метаданных сертификата и конфиденциального содержимого (через регулярные выражения).

---

Юридическое уведомление

• Этот инструмент должен использоваться только в авторизованных тестах на проникновение или контролируемых средах.
• Все пользователи несут исключительную ответственность за обеспечение законного и этичного использования.

---

Авторство

• Оригинальное открытие и описание: WatchTowr Labs
• Автор улучшенного PoC: Guilherme Nocera (@guilhermenocera1)
• Основано на исследованиях с открытым исходным кодом и создано для бразильских и мировых специалистов по безопасности.

---

Связанное

• Детали CVE - CVE-2025-5777
• Консультации по безопасности Citrix
• Статья WatchTowr Labs

---

Лицензия

Этот репозиторий выпущен под лицензией MIT.

Оставайтесь в безопасности. Тестируйте ответственно.