XWiki の SolrSearch で未認証の任意コード実行（悪用確認済み）

Critical（CVSS 9.8）に分類されるXWiki XWiki Platformの脆弱性です。XWiki Platform の SolrSearch に未認証の任意コード実行がある。ログインしていないゲストが /xwiki/bin/get/Main/SolrSearch へ text パラメータに Groovy マクロを含むリクエストを送ると、それが評価されてサーバ上でコードが実行される。XWiki インストール全体の機密性・完全性・可用性が失われる。GitHub の advisory は自己診断の手順も示しており、未ログインで当該 URL に検証用のペイロード（23 + 19 を計算させるもの）を送り、RSS フィードのタイトルに「Hello from search text:42」が現れれば脆弱と判定できる。影響は 5.3 系から 15.10.11 未満、および 16.0.0 から 16.4.1 未満で、修正版は 15.10.11 / 16.4.1 / 16.5.0RC1。更新できない場合の回避策として、SolrSearchMacros.xml の Main.SolrSearchMacros の955行目を、macros.vm の rawResponse マクロに合わせて content type を application/xml として出力する形に書き換える方法が advisory に記載されている。CVSS は NVD（Primary）と CNA の GitHub がともに 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で一致している。CWE は NVD が CWE-94、CNA が CWE-95 と分類が分かれる。CISA KEV には 2025-10-30 に収載され、是正期限は 2025-11-20。

判定が明確な CVE なので、まず自分の環境が該当するかを確定させるのが早い。advisory の手順どおり、未認証で /xwiki/bin/get/Main/SolrSearch?media=rss&text=... に検証ペイロードを投げ、RSS のタイトルに計算結果（42）が返るかを見る。自分の管理下のインスタンスに対してだけ実施すること。バージョンでの判定は、管理画面またはフッタで 5.3〜15.10.10 / 16.0.0〜16.4.0 に入るかを見る。対応は 15.10.11 / 16.4.1 / 16.5.0RC1 以降への更新で終わる。更新が当日にできない場合は、advisory の記載どおり Main.SolrSearchMacros を書き換える回避策があり、これは実質的にレンダリング経路を潰すものなので、更新の前段としては有効である。もう一段の緩和として、XWiki をインターネットから直接見せている構成をやめる（VPN 経由・IP 制限・SSO 前段のリバースプロキシ）ことが効く。未認証で到達できることが攻撃の前提なので、経路を閉じるだけでリスクは大きく下がる。重要なのは、この CVE は KEV 収載済み、つまり実際に悪用されているため、公開していた期間があるなら更新だけで終わらせてはいけない点である。XWiki が動いていたホストで、Web プロセス権限の cron・不審なプロセス・アップロードされた jar/スクリプト・作成された管理者ユーザーを点検し、XWiki の DB 資格情報と、XWiki が連携している LDAP や SMTP、外部 API のトークンを再発行する。攻撃者は RCE を取った後にリバースシェルや暗号採掘、あるいは横展開のための鍵配置を行うのが定型なので、/tmp・/dev/shm の実行ファイルと authorized_keys の追記も確認対象になる。完了条件は、（1）全インスタンスが修正版以上、（2）公開実績のあるインスタンスで侵害調査と資格情報再発行が完了、（3）未認証で到達できる経路を残していないこと。KEV 是正期限 2025-11-20 は経過している。

XWiki XWiki Platform を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-24893）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/20 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。