🇰🇷 한글 설명
XWiki Platform의 SkinAction에서 이중 인코딩된 상위 디렉토리 세그먼트를 처리할 때 발생하는 취약점입니다. Jetty 12 이상의 환경에서 공격자가 의도된 경로를 벗어나 WEB-INF/xwiki.cfg나 호스트 파일을 포함한 임의의 리소스를 읽을 수 있습니다.
💡 쉬운 설명
해커가 특수하게 조작된 주소를 입력하여 웹사이트의 보안 설정 파일이나 서버 내부의 중요한 파일을 몰래 훔쳐볼 수 있는 문제입니다. Jetty 12 이상의 서버를 사용하는 XWiki 사용자에게 발생할 수 있습니다.
🇺🇸 원문 (English)
XWiki Platform is a generic wiki platform. Prior to 17.10.5 and 18.2.0, the /skin/ action in com.xpn.xwiki.web.SkinAction can resolve double-encoded parent-directory segments outside the intended skin or web-application resource prefix when Jetty 12 or later decodes the request path. The affected lookup is replaced with Environment.getResourceAsStream(String, String), which constrains a resource to its expected prefix. An unauthenticated remote attacker can use the vulnerable behavior to read arbitrary resources permitted to the Jetty process, including WEB-INF/xwiki.cfg and, depending on deployment depth and operating-system permissions, host files. Tomcat and Jetty versions before 12 do not appear affected. This issue is fixed in versions 17.10.5 and 18.2.0.
📍 영향받는 시스템
XWiki Platform 17.10.5 및 18.2.0 미만 버전 (Jetty 12 이상 사용 시)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 이중 인코딩된 경로를 포함한 HTTP 요청을 전송하여 파일 읽기 수행
🛡️ 대응 방법
XWiki를 17.10.5 또는 18.2.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 XWiki 버전 정보가 17.10.5 또는 18.2.0보다 낮은지 확인하십시오.
curl -s http://<target_ip>/xwiki/bin/view/Skin/ | grep -E 'version'