Citrix NetScaler Console重大漏洞CVE-2024-6235实战解析与POC验证！

哈喽大家好，欢迎来到虚拟化时代君（XNHCYL），收不到通知请将我点击星标！“   大家好，我是虚拟化时代君，一位潜心于互联网的技术宅男。这里每天为你分享各种你感兴趣的技术、教程、软件、资源、福利…（每天更新不间断，福利不见不散）

文 章 引 言

2024年7月9日，NetScaler Console（原 NetScaler ADM）、NetScaler SDX (SVM) 和 NetScaler Agent 中发现两个漏洞。Citrix披露了影响NetScaler控制台的敏感信息泄露漏洞CVE-2024-6235。Citrix公告中给出的CVE-2024-6235 CVSSv4评分高达9.4，因此属于严重漏洞。该漏洞存在于NetScaler控制台14.1-25.53版本之前的所有版本中。

第一章、漏洞分析

安全研究员 chutton-r7 发现该漏洞可导致严重的未经身份验证的会话劫持，攻击者可利用内部 API 创建管理员账户Rapid7 研究人员确认该漏洞允许未经身份验证的攻击者从内部 API 获取管理员级会话 ID，并使用它在系统上创建其他管理员用户。虽然该漏洞被归类为“信息泄露”，但其实际影响远比此漏洞严重。Rapid7证实： “该漏洞允许未经身份验证的攻击者从内部 API 获取管理员级别的会话 ID，并使用它在系统上创建其他管理员用户。”

第二章、受影响的版本

以下受支持的 NetScaler Console（以前称为 NetScaler ADM）版本受到CVE-2024-6235的影响：

• NetScaler Console 14.1 14.1-25.53 之前的版本

以下受支持的 NetScaler Console、NetScaler Agent 和 NetScaler SDX (SVM) 版本受到CVE-2024-6236的影响：

• NetScaler Console 14.1 < 14.1-25.53

• NetScaler Console 13.1 <  13.1-53.22

• NetScaler Console 13.0 <  13.0-92.31

• NetScaler SDX (SVM) 14.1 <  14.1-25.53

• NetScaler SDX (SVM) 13.1 <  13.1-53.17

• NetScaler SDX (SVM) 13.0 <  13.0-92.31

• NetScaler Agent 14.1 befor<  14.1-25.53

• NetScaler Agent 13.1 <  13.1-53.22

• NetScaler Agent 13.0 before<  13.0-92.31

第三章、漏洞复现

以下结论是根据存在漏洞的版本 (14.1-8.50) 和已修复的版本 (14.1-29.63)比较，我们只展示部分内容，在反编译的 Python 代码中搜索匹配的引用，我们找到了Python egg中MgmtMonitConstants的类，它揭示了其他几个可能有趣的端点：infra/comm/mgmt_monit/mgmtmonitconstants.pyMPSPython-1.0-py3.7.egg

class MgmtMonitConstants(object):    ADM_PORT = "80"    ADM_HOST = "mgmt-monit" if MPSEnviron.is_microservice() and not MPSEnviron.is_agent() else MPSEnviron.get_env("APP_ID") if (MPSEnviron.is_microservice() and MPSEnviron.is_agent()) else "127.0.0.1"    DB_SECRET_URL = "http://%s/internal/v2/config/mps_secret/MPS_SERVER_WALLET_KEY" % ADM_HOST    ADM_PRIVATE_KEY_URL = "http://%s/internal/v2/config/mps_secret/ADM_PRIVATE_KEY" % ADM_HOST    ADM_DEPLOYMENT_URL = "http://%s/internal/v2/config/adm_deployment" % ADM_HOST    ADM_HEALTH_URL = "http://%s/ping" % ADM_HOST    ADM_SESSIONID_URL = "http://%s/internal/v2/config/mps_secret/ADM_SESSIONID" % ADM_HOST    ADM_CERT_URL = "http://%s/internal/v2/config/cert_store" % ADM_HOST    ADM_CERT_EXTERNAL_URL = "http://%s/nitro/v2/config/cert_store" % ADM_HOST    ADM_CERT_STORE_MAPPING_URL = "http://%s/nitro/v2/config/cert_store_mapping" % ADM_HOST    ADM_CERT_KEY_DOWNLOAD_URL = "http://%s/internal/v2/config/cert_store" % ADM_HOST

端点http://%s/internal/v2/config/mps_secret/ADM_SESSIONID 进行分析，获取到一些infra/comm/mgmt_monit/mgmtmonitclient.py

class MgmtMonitClient(object):    ...