Versioni Affette e Corrette

Versioni Affette

• XWiki Platform: 5.3-milestone-2 fino a 15.10.10
• XWiki Platform: 16.0.0-rc-1 fino a 16.4.0

Versioni Corrette

• XWiki 15.10.11 o successiva
• XWiki 16.4.1 o successiva
• XWiki 16.5.0RC1 o successiva

Caratteristiche

• RCE non autenticata: Esegue comandi di sistema arbitrari senza autenticazione.
• Bypass del token CSRF: Sfrutta l'iniezione di template senza richiedere token CSRF.
• Esecuzione in background: Esegue comandi in modo asincrono sul server di destinazione.
• Interfaccia a riga di comando semplice: Script Bash facile da usare con dipendenze minime.

Prerequisiti

• Dipendenze:
  • curl: Per inviare richieste HTTP.
  • jq: Per la codifica URL del payload.
  • Shell Bash.
• Ambiente testato: Sistema operativo Linux con Bash.

Utilizzo

Fornisci i permessi di esecuzione:

Esegui lo script con gli argomenti richiesti:

Parametri

Esempio

Verifica se il target è vulnerabile (esegui il comando id):

Recupera informazioni di sistema:

Crea un file di test:

Reverse shell (sostituisci con il tuo IP e porta):

Flusso di lavoro dello script

1. Analisi degli argomenti da riga di comando:

   • Verifica che sia l'URL di destinazione sia il comando siano forniti.
   • Normalizza l'URL aggiungendo http:// se non è specificato alcun protocollo.

2. Costruzione del payload:

   • Crea un payload Groovy che esegue il comando specificato usando .execute().
   • Avvolge il payload nella sintassi macro XWiki: }}}{{async async=false}}{{groovy}}<codice>{{/groovy}}{{/async}}

3. Codifica URL:

   • Codifica URL del payload usando jq per una corretta trasmissione HTTP.

4. Sfruttamento:

   • Invia una richiesta HTTP GET all'endpoint SolrSearch vulnerabile: /xwiki/bin/get/Main/SolrSearch?media=rss&text=<payload_codificato>
   • Il comando viene eseguito in background sul server di destinazione.

Dettagli Tecnici

Meccanismo di Sfruttamento

La catena di sfruttamento funziona come segue:

1. Iniezione di template: L'attaccante crea un payload malevolo contenente codice Groovy avvolto nella sintassi macro XWiki.
2. Indirizzamento all'endpoint: Il payload viene inviato all'endpoint RSS SolrSearch vulnerabile.
3. Esecuzione del codice: Il codice Groovy iniettato viene eseguito lato server senza autenticazione.
4. Compromissione del sistema: L'attaccante ottiene l'esecuzione di codice arbitrario con i privilegi dell'applicazione XWiki.

Struttura del Payload

• }}} - Chiude qualsiasi contesto macro esistente
• {{async async=false}} - Assicura l'esecuzione sincrona
• {{groovy}}...{{/groovy}} - Avvolge il codice Groovy malevolo
• '<comando>'.execute(); - Esegue il comando di sistema specificato

Prova di Concetto

Configurazione dell'ambiente vulnerabile

A scopo di test, puoi configurare un'istanza XWiki vulnerabile usando Docker:

Demo di sfruttamento

Impatto

Lo sfruttamento riuscito di questa vulnerabilità consente a un attaccante non autenticato di:

• Eseguire comandi di sistema arbitrari sul server
• Leggere, modificare o eliminare dati sensibili
• Compromettere l'intera installazione XWiki
• Spostarsi verso altri sistemi sulla rete
• Distribuire miner di criptovalute o altro malware
• Stabilire un accesso backdoor persistente

Sfruttamento nel Mondo Reale

Secondo CISA e diversi vendor di sicurezza:

• Sfruttamento attivo: CVE-2025-24893 viene attivamente sfruttato in natura
• Campagne di attacco: VulnCheck ha rilevato catene di attacco a due stadi che distribuiscono miner di criptovalute
• Catalogo KEV di CISA: Aggiunto al catalogo delle vulnerabilità note sfruttate il 30 ottobre 2025
• Scansione diffusa: Scansione massiva a livello Internet per istanze vulnerabili

Rilevamento e Mitigazione

Rilevamento

Monitora richieste sospette verso l'endpoint SolrSearch:

Cerca pattern contenenti:

• {{groovy}}
• {{async}}
• .execute()
• Variazioni codificate URL di quanto sopra

Indicatori di Compromissione (IoCs)

• Processi inaspettati generati dall'utente dell'applicazione XWiki
• Nuovi file in /tmp o altre directory scrivibili
• Connessioni di rete in uscita verso IP sconosciuti
• Processi di mining di criptovalute (elevato utilizzo CPU)

Mitigazione

1. Aggiorna XWiki a una versione corretta:

   • Versione 15.10.11 o successiva
   • Versione 16.4.1 o successiva
   • Versione 16.5.0RC1 o successiva

2. Applica soluzioni temporanee (se l'aggiornamento immediato non è possibile):

   • Limita l'accesso all'endpoint SolrSearch tramite Web Application Firewall (WAF)
   • Disabilita la macro SolrSearch se non necessaria
   • Implementa segmentazione di rete per limitare l'esposizione

3. Monitora per compromissioni:

   • Esamina i log per tentativi di sfruttamento
   • Controlla modifiche non autorizzate ai file
   • Scansiona per miner di criptovalute e backdoor

Limitazioni

• I comandi vengono eseguiti in background; l'output potrebbe non essere immediatamente visibile.
• La verifica dell'esecuzione del comando richiede metodi di canale laterale (es., creazione di file, connessioni di rete).
• Richiede che il target abbia la macro SolrSearch abilitata (configurazione predefinita).

Crediti

• Scopritore della vulnerabilità: John Kwak (Zero Day Initiative di Trend Micro)
• Autori originali dell'exploit Python: Vari ricercatori di sicurezza
• Script adattato: Rivisitato da [0xdtc] Costruito in BASH

Disclaimer

Questo script è solo a scopo educativo. L'uso non autorizzato di questo strumento contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione è illegale e non etico. Usalo responsabilmente.

Devi avere un'autorizzazione scritta esplicita dal proprietario del sistema prima di testarlo.

Gli autori di questo strumento non sono responsabili per qualsiasi uso improprio o danno causato da questo script. Gli utenti sono gli unici responsabili di assicurarsi di avere la corretta autorizzazione e di rispettare tutte le leggi e i regolamenti applicabili.