Versões Afetadas e Corrigidas

Versões Afetadas

• XWiki Platform: 5.3-milestone-2 até 15.10.10
• XWiki Platform: 16.0.0-rc-1 até 16.4.0

Versões Corrigidas

• XWiki 15.10.11 ou superior
• XWiki 16.4.1 ou superior
• XWiki 16.5.0RC1 ou superior

Funcionalidades

• RCE não autenticado: Execute comandos de sistema arbitrários sem autenticação.
• Bypass do Token CSRF: Explora a injeção de template sem exigir tokens CSRF.
• Execução em Segundo Plano: Executa comandos de forma assíncrona no servidor alvo.
• Interface de Linha de Comando Simples: Script Bash fácil de usar com dependências mínimas.

Pré-requisitos

• Dependências:
  • curl: Para enviar requisições HTTP.
  • jq: Para codificar o payload em URL.
  • Shell Bash.
• Ambiente Testado: Sistema operacional Linux com Bash.

Uso

Conceda permissões de execução:

Execute o script com os argumentos necessários:

Parâmetros

Exemplo

Verificar se o alvo é vulnerável (executar comando id):

Obter informações do sistema:

Criar um arquivo de teste:

Reverse shell (substitua pelo seu IP e porta):

Fluxo do Script

1. Interpretação dos Argumentos da Linha de Comando:

   • Valida que tanto a URL alvo quanto o comando foram fornecidos.
   • Normaliza a URL adicionando http:// se nenhum protocolo for especificado.

2. Construção do Payload:

   • Constrói um payload de código Groovy que executa o comando especificado usando .execute().
   • Envolve o payload na sintaxe de macro do XWiki: }}}{{async async=false}}{{groovy}}<código>{{/groovy}}{{/async}}

3. Codificação URL:

   • Codifica o payload em URL usando jq para transmissão HTTP adequada.

4. Exploração:

   • Envia uma requisição HTTP GET para o endpoint SolrSearch vulnerável: /xwiki/bin/get/Main/SolrSearch?media=rss&text=<payload_codificado>
   • O comando é executado em segundo plano no servidor alvo.

Detalhes Técnicos

Mecanismo de Exploração

A cadeia de exploração funciona da seguinte forma:

1. Injeção de Template: O atacante cria um payload malicioso contendo código Groovy envolto na sintaxe de macro do XWiki.
2. Direcionamento do Endpoint: O payload é enviado para o endpoint RSS do SolrSearch vulnerável.
3. Execução de Código: O código Groovy injetado é executado no lado do servidor sem autenticação.
4. Comprometimento do Sistema: O atacante ganha execução de código arbitrário com os privilégios da aplicação XWiki.

Estrutura do Payload

• }}} - Fecha qualquer contexto de macro existente
• {{async async=false}} - Garante execução síncrona
• {{groovy}}...{{/groovy}} - Envolve o código Groovy malicioso
• '<comando>'.execute(); - Executa o comando de sistema especificado

Prova de Conceito

Configuração de Ambiente Vulnerável

Para fins de teste, você pode configurar uma instância vulnerável do XWiki usando Docker:

Demonstração de Exploração

Impacto

A exploração bem-sucedida desta vulnerabilidade permite que um atacante não autenticado:

• Execute comandos arbitrários do sistema no servidor
• Leia, modifique ou exclua dados sensíveis
• Comprometa toda a instalação do XWiki
• Pivote para outros sistemas na rede
• Implante mineradores de criptomoedas ou outros malwares
• Estabeleça acesso persistente de backdoor

Exploração em Cenário Real

De acordo com a CISA e múltiplos fornecedores de segurança:

• Exploração Ativa: CVE-2025-24893 está sendo explorada ativamente em ambiente real
• Campanhas de Ataque: A VulnCheck detectou cadeias de ataque de dois estágios que implantam mineradores de criptomoedas
• Catálogo KEV da CISA: Adicionada ao catálogo de Vulnerabilidades Exploradas Conhecidas em 30 de outubro de 2025
• Varredura Ampla: Varredura massiva em toda a internet em busca de instâncias vulneráveis

Detecção e Mitigação

Detecção

Monitore requisições suspeitas ao endpoint SolrSearch:

Procure por padrões contendo:

• {{groovy}}
• {{async}}
• .execute()
• Variações codificadas em URL dos itens acima

Indicadores de Comprometimento (IoCs)

• Processos inesperados gerados pelo usuário da aplicação XWiki
• Novos arquivos em /tmp ou outros diretórios graváveis
• Conexões de rede de saída para IPs desconhecidos
• Processos de mineração de criptomoedas (alto uso de CPU)

Mitigação

1. Atualize o XWiki para uma versão corrigida:

   • Versão 15.10.11 ou superior
   • Versão 16.4.1 ou superior
   • Versão 16.5.0RC1 ou superior

2. Aplique Soluções Temporárias (se a correção imediata não for possível):

   • Restrinja o acesso ao endpoint SolrSearch via Web Application Firewall (WAF)
   • Desative o macro SolrSearch se não for necessário
   • Implemente segmentação de rede para limitar a exposição

3. Monitore por Comprometimento:

   • Revise logs em busca de tentativas de exploração
   • Verifique modificações não autorizadas em arquivos
   • Escaneie por mineradores de criptomoedas e backdoors

Limitações

• Comandos executam em segundo plano; a saída pode não ser imediatamente visível.
• A verificação da execução do comando requer métodos de canal indireto (ex.: criação de arquivos, conexões de rede).
• Requer que o alvo tenha o macro SolrSearch habilitado (configuração padrão).

Créditos

• Descobridor da Vulnerabilidade: John Kwak (Trend Micro's Zero Day Initiative)
• Autores Originais do Exploit em Python: Vários pesquisadores de segurança
• Script Adaptado: Reformulado por [0xdtc] Construído em BASH

Aviso Legal

Este script é para fins educacionais apenas. O uso não autorizado desta ferramenta contra sistemas que você não possui ou não tem permissão explícita para testar é ilegal e antiético. Use com responsabilidade.

Você deve ter permissão explícita por escrito do proprietário do sistema antes de testar.

O(s) autor(es) desta ferramenta não são responsáveis por qualquer uso indevido ou dano causado por este script. Os usuários são os únicos responsáveis por garantir que possuem a devida autorização e cumprem todas as leis e regulamentações aplicáveis.