🇰🇷 한글 설명
XWiki 렌더링 시스템에서 {{/html}} 인젝션에 대한 보호가 미흡하여 발생하는 취약점입니다. 공격자가 프로필이나 문서를 편집할 수 있다면 Groovy 또는 Python 매크로를 실행하여 원격 코드 실행(RCE) 및 위키 전체 콘텐츠에 대한 무제한 읽기/쓰기 권한을 획득할 수 있습니다.
💡 쉬운 설명
위키 페이지를 수정할 수 있는 사용자가 특수한 명령어를 입력하여 서버를 마음대로 조종할 수 있는 보안 결함입니다. 이를 통해 해커는 서버의 파일을 읽거나 수정하고 악성 프로그램을 실행할 수 있습니다.
🇺🇸 원문 (English)
XWiki Rendering is a generic rendering system that converts textual input in a given syntax (wiki syntax, HTML, etc) into another syntax (XHTML, etc). Versions 16.10.9 and below, 17.0.0-rc-1 through 17.4.2 and 17.5.0-rc-1 through 17.5.0 have insufficient protection against {{/html}} injection, which attackers can exploit through RCE. Any user who can edit their own profile or any other document can execute arbitrary script macros, including Groovy and Python macros, which enable remote code execution as well as unrestricted read and write access to all wiki contents. This issue is fixed in versions 16.10.10, 17.4.3 and 17.6.0-rc-1.
📍 영향받는 시스템
XWiki 16.10.9 이하, 17.0.0-rc-1 ~ 17.4.2, 17.5.0-rc-1 ~ 17.5.0
⚔️ 공격 벡터
사용자 프로필 또는 문서 편집 기능을 통한 {{/html}} 인젝션 및 스크립트 매크로 실행
🛡️ 대응 방법
XWiki를 16.10.10, 17.4.3 또는 17.6.0-rc-1 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
대상 서버의 XWiki 버전을 확인하여 취약한 버전 범위에 해당하는지 대조하십시오.
curl -s http://<target-ip>/xwiki/bin/view/Main/ | grep -i 'XWiki' && echo 'Check version via /xwiki/bin/admin/Admin'