CVE-2023-48292

Zusammenfassung

Die XWiki Admin Tools Application stellt Werkzeuge zur Administration von XWiki bereit. Ab Version 4.4 und vor Version 4.5.1 ermöglicht eine Cross-Site-Request-Forgery-Schwachstelle im Admin-Werkzeug zur Ausführung von Shell-Befehlen auf dem Server einem Angreifer, beliebige Shell-Befehle auszuführen, indem ein Admin dazu gebracht wird, die URL mit dem Shell-Befehl zu laden. Eine sehr einfache Möglichkeit für einen Angriff sind Kommentare. Wenn der Angreifer auf einer beliebigen Wiki-Seite einen Kommentar hinterlassen kann, reicht es aus, ein Bild mit einer URL wie `/xwiki/bin/view/Admin/RunShellCommand?command=touch%20/tmp/attacked` in den Kommentar einzufügen. Wenn ein Admin den Kommentar ansieht, wird auf dem Server die Datei `/tmp/attacked` erstellt. Die Ausgabe des Befehls ist ebenfalls anfällig für XWiki-Syntax-Injection, was eine einfache Möglichkeit bietet, Groovy im Kontext der XWiki-Installation auszuführen, und damit einen noch einfacheren Weg, die Integrität und Vertraulichkeit der gesamten XWiki-Installation zu gefährden. Dies wurde durch das Hinzufügen einer Formular-Token-Prüfung in Version 4.5.1 der Admin-Tools behoben. Es sind einige Workarounds verfügbar. Der Patch kann manuell auf die betroffenen Wiki-Seiten angewendet werden. Alternativ kann das Dokument `Admin.RunShellCommand` auch gelöscht werden, wenn die Möglichkeit zur Ausführung von Shell-Befehlen nicht benötigt wird.

• XWiki Standard 14.10 - Remote Code Execution (RCE)Exploit

  Mehran Seifalinia · php · 29.03.2025