CVE-2025-5777 Эксплойт утечки памяти Citrix NetScaler

[!WARNING] Этот скрипт предназначен только для образовательных и исследовательских целей. Не используйте его против систем без явного разрешения. Несанкционированный доступ или тестирование незаконны и неэтичны. Прочтите полный ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ перед использованием этого скрипта.

Обзор

Этот проект демонстрирует уязвимость утечки памяти (CVE-2025-5777), обнаруженную в устройствах Citrix NetScaler. Уязвимость возникает из-за неправильной обработки неинициализированной памяти при разборе некорректных данных POST, в частности параметра login. Она широко известна как CitrixBleed 2 из-за сильного сходства с печально известной CVE-2023-4966 (оригинальная CitrixBleed), которая активно эксплуатировалась в 2023 году.

Когда поле login включено без знака равенства или значения, часть неинициализированной стековой памяти возвращается внутри тега <InitialValue> в XML-ответе.

Утечка данных: Каждый HTTP-запрос может утечь примерно 127 байт содержимого ОЗУ. Повторяя эти запросы, злоумышленники могут собирать чувствительные данные из памяти, которые могут включать:

• Токены сеансов (позволяют захватить сеанс и обойти MFA).
• Данные аутентификации.
• Части предыдущих HTTP-запросов.
• Учетные данные в открытом виде.
• Другую конфиденциальную информацию.

Использование скрипта

Требования / Зависимости

pip3 install aiohttp colorama

Запуск скрипта

python3 exploit.py <URL> [options]

Примеры

Базовое использование:

Подробный вывод с прокси:

Справка -h:

Как это работает

Этот скрипт на Python:

• Отправляет повторные некорректные POST-запросы.
• Разбирает XML-ответы.
• Извлекает утекшую память из полей <InitialValue>.
• Отображает её в формате hex-дампа, как инструмент xxd.
• Поддерживает опциональное проксирование, многопоточность и подробный вывод для анализа.

Воздействие

• Захват сеансов: Основная угроза — кража токенов сеансов, что позволяет злоумышленникам захватывать активные пользовательские сеансы и получать несанкционированный доступ к критическим системам, даже если включена многофакторная аутентификация (MFA).
• Обход аутентификации: Украденные токены сеансов или учетные данные могут быть использованы для полного обхода процесса аутентификации.
• Раскрытие данных: Конфиденциальная информация, находящаяся в памяти, может быть раскрыта.

Защита и смягчение

• Обновите до последней защищённой прошивки немедленно.
• Отслеживайте аномальные шаблоны POST-запросов.

Ссылки

• Запись в блоге watchTowr - Оригинальный анализ