🇰🇷 한글 설명
XWiki의 렌더링 시스템에서 발생하는 취약점으로, 사용자 프로필이나 문서를 편집할 수 있는 권한이 있다면 Groovy 또는 Python 매크로를 사용하여 임의의 스크립트를 실행할 수 있습니다. 이를 통해 공격자는 위키의 모든 콘텐츠에 대해 제한 없는 읽기 및 쓰기 권한을 획득하여 원격 코드 실행(RCE)이 가능해집니다. 해당 문제는 렌더링 출력이 HTML 매크로 내에서 적절히 이스케이프(escaping)되지 않아 발생하며, 최신 버전에서 패치되었습니다.
💡 쉬운 설명
위키 페이지를 수정할 수 있는 사람이 특수하게 조작된 코드를 입력하면, 서버를 마음대로 조종할 수 있는 보안 구멍입니다. 공격자가 서버의 모든 정보를 읽거나 지울 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
XWiki Rendering is a generic rendering system that converts textual input in a given syntax (wiki syntax, HTML, etc) into another syntax (XHTML, etc). Prior to versions 14.10.2 and 15.0 RC1, any user who can edit their own user profile or any other document can execute arbitrary script macros including Groovy and Python macros that allow remote code execution including unrestricted read and write access to all wiki contents. The reason is that rendering output is included as content of HTML macros without further escaping and it is thus possible to close the HTML macro and inject script macros that are executed with programming rights. This has been patched in XWiki 14.10.2 and 15.0 RC1 by making sure that rendering output cannot close the surrounding HTML macro. A possible workaround is available. It is, in principle, possible to add escaping to all places where rendering output is used in wiki documents, but at the moment there is no list of them.
📍 영향받는 시스템
XWiki 14.10.2 미만 및 15.0 RC1 미만 버전
⚔️ 공격 벡터
문서 편집 권한을 이용해 HTML 매크로를 닫고 스크립트 매크로를 주입하는 방식
🛡️ 대응 방법
XWiki를 14.10.2 또는 15.0 RC1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
대상 서버의 XWiki 버전을 관리자 페이지 또는 시스템 정보에서 확인하여 패치된 버전(14.10.2 또는 15.0 RC1 이상)인지 확인하십시오.
curl -s http://<target-ip>/xwiki/bin/view/Main/ | grep -i 'XWiki' && echo 'Check version manually via admin UI'