Ejecución remota de código en XWiki Platform CSRF a través de la referencia de documento del trabajo programado

La explotación exitosa de CVE-2024-31986 permite a un atacante ejecutar código arbitrario en el servidor XWiki con los privilegios del usuario que ejecuta el proceso del servidor. Esto podría resultar en el control total del servidor, incluyendo la exfiltración de datos sensibles, la modificación de la configuración del sistema, la instalación de malware, o el uso del servidor como punto de apoyo para ataques a otros sistemas en la red. La ejecución se desencadena al visitar la página del programador o al referenciarla, lo que facilita la explotación, especialmente en entornos donde los administradores acceden regularmente a esta página. La naturaleza de la vulnerabilidad, que involucra la manipulación de objetos XWiki, podría ser similar a otras vulnerabilidades de deserialización en aplicaciones Java, ampliando el potencial de ataque.

Organizations heavily reliant on XWiki Platform for internal knowledge management or collaboration are at significant risk. Shared hosting environments where multiple users share the same XWiki instance are particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability and impact other users. Legacy XWiki installations that have not been regularly updated are also at increased risk.

• linux / server:

journalctl -u xwiki | grep -i "XWiki.SchedulerJobClass"

• generic web:

curl -I <xwiki_url>/xwiki/bin/view/Scheduler/WebHome

Inspect the response headers for any unusual or unexpected content. • java: Monitor XWiki logs for unusual activity related to XObject creation and execution. Look for patterns indicating the creation of documents with crafted references.

1. 2024-04-10Disclosure

   disclosure

1. Reservado2024-04-08
2. Publicada2024-04-10
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-31986 es actualizar a la versión 15.5.5 o superior de XWiki Platform. Si la actualización no es inmediatamente posible, se recomienda aplicar el parche manualmente modificando la página Scheduler.WebHome según las instrucciones proporcionadas por el proveedor. Como medida adicional, se puede restringir el acceso a la página del programador solo a usuarios autorizados. Además, se recomienda revisar los permisos de los usuarios y las configuraciones de seguridad del sistema para minimizar el impacto potencial de una explotación exitosa. Después de la actualización o aplicación del parche, confirme la mitigación revisando los logs del servidor en busca de intentos de explotación y verificando que la página del programador no se pueda acceder sin autenticación.