Versiones afectadas y parcheadas

Versiones afectadas

• XWiki Platform: 5.3-milestone-2 a 15.10.10
• XWiki Platform: 16.0.0-rc-1 a 16.4.0

Versiones parcheadas

• XWiki 15.10.11 o posterior
• XWiki 16.4.1 o posterior
• XWiki 16.5.0RC1 o posterior

Características

• RCE no autenticado: Ejecuta comandos arbitrarios del sistema sin autenticación.
• Omisión de token CSRF: Explota la inyección de plantillas sin necesidad de tokens CSRF.
• Ejecución en segundo plano: Los comandos se ejecutan de forma asíncrona en el servidor objetivo.
• Interfaz de línea de comandos simple: Script Bash fácil de usar con dependencias mínimas.

Requisitos previos

• Dependencias:
  • curl: Para enviar solicitudes HTTP.
  • jq: Para la codificación URL del payload.
  • Shell Bash.
• Entorno probado: SO Linux con Bash.

Uso

Otorga los permisos de ejecución:

Ejecuta el script con los argumentos requeridos:

Parámetros

Ejemplo

Verificar si el objetivo es vulnerable (ejecutar el comando id):

Obtener información del sistema:

Crear un archivo de prueba:

Shell inversa (reemplaza con tu IP y puerto):

Flujo de trabajo del script

1. Análisis de argumentos de línea de comandos:

   • Valida que tanto la URL objetivo como el comando estén presentes.
   • Normaliza la URL añadiendo http:// si no se especifica un protocolo.

2. Construcción del payload:

   • Construye un payload de código Groovy que ejecuta el comando especificado usando .execute().
   • Envuelve el payload en la sintaxis de macro de XWiki: }}}{{async async=false}}{{groovy}}<código>{{/groovy}}{{/async}}

3. Codificación URL:

   • Codifica el payload en URL usando jq para una transmisión HTTP adecuada.

4. Explotación:

   • Envía una solicitud HTTP GET al endpoint vulnerable de SolrSearch: /xwiki/bin/get/Main/SolrSearch?media=rss&text=<payload_codificado>
   • El comando se ejecuta en segundo plano en el servidor objetivo.

Detalles técnicos

Mecanismo de explotación

La cadena de explotación funciona de la siguiente manera:

1. Inyección de plantillas: El atacante crea un payload malicioso que contiene código Groovy envuelto en sintaxis de macro de XWiki.
2. Apuntar al endpoint: El payload se envía al endpoint RSS vulnerable de SolrSearch.
3. Ejecución de código: El código Groovy inyectado se ejecuta del lado del servidor sin autenticación.
4. Compromiso del sistema: El atacante obtiene ejecución de código arbitrario con los privilegios de la aplicación XWiki.

Estructura del payload

• }}} - Cierra cualquier contexto de macro existente
• {{async async=false}} - Asegura una ejecución síncrona
• {{groovy}}...{{/groovy}} - Envuelve el código Groovy malicioso
• '<comando>'.execute(); - Ejecuta el comando del sistema especificado

Prueba de concepto

Configuración del entorno vulnerable

Para fines de prueba, puedes configurar una instancia vulnerable de XWiki usando Docker:

Demostración de explotación

Impacto

La explotación exitosa de esta vulnerabilidad permite a un atacante no autenticado:

• Ejecutar comandos arbitrarios del sistema en el servidor
• Leer, modificar o eliminar datos sensibles
• Comprometer toda la instalación de XWiki
• Moverse lateralmente a otros sistemas en la red
• Implementar mineros de criptomonedas u otro malware
• Establecer acceso persistente de puerta trasera

Explotación en el mundo real

Según CISA y múltiples proveedores de seguridad:

• Explotación activa: CVE-2025-24893 se está explotando activamente en la naturaleza
• Campañas de ataque: VulnCheck detectó cadenas de ataque de dos etapas que implementan mineros de criptomonedas
• Catálogo KEV de CISA: Agregado al catálogo de Vulnerabilidades Explotadas Conocidas el 30 de octubre de 2025
• Escaneo masivo: Escaneo masivo a nivel de Internet en busca de instancias vulnerables

Detección y mitigación

Detección

Monitorea solicitudes sospechosas al endpoint SolrSearch:

Busca patrones que contengan:

• {{groovy}}
• {{async}}
• .execute()
• Variaciones codificadas en URL de lo anterior

Indicadores de compromiso (IoCs)

• Procesos inesperados generados por el usuario de la aplicación XWiki
• Archivos nuevos en /tmp u otros directorios con permisos de escritura
• Conexiones de red salientes a IPs desconocidas
• Procesos de minería de criptomonedas (uso elevado de CPU)

Mitigación

1. Actualiza XWiki a una versión parcheada:

   • Versión 15.10.11 o posterior
   • Versión 16.4.1 o posterior
   • Versión 16.5.0RC1 o posterior

2. Aplica soluciones temporales (si no es posible parchear de inmediato):

   • Restringe el acceso al endpoint SolrSearch mediante un Firewall de Aplicaciones Web (WAF)
   • Deshabilita la macro SolrSearch si no es necesaria
   • Implementa segmentación de red para limitar la exposición

3. Monitorea en busca de compromiso:

   • Revisa los registros en busca de intentos de explotación
   • Verifica modificaciones no autorizadas de archivos
   • Escanea en busca de mineros de criptomonedas y puertas traseras

Limitaciones

• Los comandos se ejecutan en segundo plano; la salida puede no ser visible de inmediato.
• La verificación de la ejecución del comando requiere métodos de canal lateral (ej., creación de archivos, conexiones de red).
• Requiere que el objetivo tenga la macro SolrSearch habilitada (configuración predeterminada).

Créditos

• Descubridor de la vulnerabilidad: John Kwak (Trend Micro's Zero Day Initiative)
• Autores originales del exploit en Python: Varios investigadores de seguridad
• Script adaptado: Renovado por [0xdtc] Construido en BASH

Descargo de responsabilidad

Este script es únicamente con fines educativos. El uso no autorizado de esta herramienta contra sistemas que no posees o para los que no tienes permiso explícito de pruebas es ilegal y poco ético. Úsalo de manera responsable.

Debes tener permiso explícito por escrito del propietario del sistema antes de realizar pruebas.

El(los) autor(es) de esta herramienta no son responsables por el mal uso o daños causados por este script. Los usuarios son los únicos responsables de asegurarse de tener la autorización adecuada y cumplir con todas las leyes y regulaciones aplicables.