CVE-2023-48292

概要

XWiki Admin Tools Application は、XWiki の管理を支援するツールを提供します。バージョン 4.4 以降かつ 4.5.1 より前のバージョンでは、サーバー上でシェルコマンドを実行する管理ツールにクロスサイトリクエストフォージェリの脆弱性が存在し、攻撃者が管理者を欺いてシェルコマンドを含む URL を読み込ませることで、任意のシェルコマンドを実行できる可能性があります。攻撃の非常に単純な方法として、コメントがあります。攻撃者がウィキ内の任意のページにコメントを残せる場合、コメントに `/xwiki/bin/view/Admin/RunShellCommand?command=touch%20/tmp/attacked` のような URL を持つ画像を含めるだけで十分です。管理者がコメントを表示すると、サーバー上にファイル `/tmp/attacked` が作成されます。コマンドの出力は XWiki 構文インジェクションに対しても脆弱であり、XWiki インストールのコンテキストで Groovy を実行する簡単な方法を提供し、XWiki インストール全体の整合性と機密性を損なうさらに簡単な方法となります。これは、管理ツールのバージョン 4.5.1 でフォームトークンチェックを追加することにより修正されています。いくつかの回避策が利用可能です。影響を受けるウィキページにパッチを手動で適用できます。あるいは、シェルコマンドを実行する必要がない場合は、ドキュメント `Admin.RunShellCommand` を削除することもできます。

• XWiki Standard 14.10 - Remote Code Execution (RCE)エクスプロイト

  Mehran Seifalinia · php · 2025/03/29