はじめに
サイバーセキュリティ・インフラセキュリティ庁（CISA）は、XWiki Platformに影響を与える重大な脆弱性を「既知の悪用された脆弱性」カタログに追加しました。これは、評価インジェクションの欠陥によって引き起こされる緊急のセキュリティ脅威を浮き彫りにしています。この脆弱性により、認証されていないゲストユーザーが任意の遠隔コードを実行できる可能性があり、人気のオープンソースWikiプラットフォームを使用している組織にとって深刻なリスクをもたらします。
脆弱性の詳細：CVE-2025-24893
- CVE ID: CVE-2025-24893
- 影響を受ける製品: XWiki Platform
- 脆弱性の種類: Eval Injection
- CVSSスコア: Critical (重大)
この脆弱性は、XWiki Platform内のSolrSearchコンポーネントにおける評価関数の不適切な処理に起因します。攻撃者は、特別に細工されたリクエストを通じて悪意のあるコードを注入し、セキュリティ制限を回避して、影響を受けるシステムを完全に制御することができます。この脆弱性は、動的に評価されるコードにおけるディレクティブの不適切な無効化をカバーするCWE-95に分類されています。
ゲストユーザーによる悪用の危険性
この脆弱性が特に危険なのは、ゲストユーザーでもアクセス可能である点です。組織は通常、認証なしでWikiコンテンツを公開するためにゲストアクセスを実装しています。攻撃者は、この信頼モデルを悪用し、評価インジェクションの欠陥を利用して悪意のあるリクエストを作成し、サーバー上で任意のコマンドを実行します。コード実行が成功すると、攻撃者はウェブサーバープロセスと同じ権限を獲得し、機密データの侵害、マルウェアのインストール、またはネットワークインフラ内のさらなる攻撃の足がかりとしてサーバーを使用する可能性があります。
CISAの勧告と対応期限
CISAは、XWiki Platformを使用している組織に対し、2025年11月20日を修正期限とする具体的なガイダンスを発行しました。同庁は、XWiki開発チームがリリースしたセキュリティパッチの即時適用を推奨しています。クラウドベースのインスタンスを運用している組織は、クラウドサービスにおける脆弱性管理の要件を定める拘束力のある運用指令（BOD）22-01に概説されているガイダンスにも従う必要があります。
未対応のリスクと推奨事項
運用上の制約や互換性の問題により、パッチを直ちに適用できない組織に対しては、CISAは包括的な修正が可能になるまでXWiki Platformの使用を中止するよう助言しています。この積極的な姿勢は、脆弱性の深刻さと、システムを悪用から保護しない場合の潜在的な結果を強調しています。
CISAは現時点ではランサムウェアキャンペーンでの積極的な悪用を確認していませんが、脆弱性の深刻さと悪用の容易さから、タイムリーな修正を怠る組織が脅威アクターの標的になる可能性が高いと示唆されています。ランサムウェアグループやその他の高度な脅威アクターは、CISAの勧告を常に監視し、攻撃対象領域を拡大するために迅速にエクスプロイトコードを開発します。
組織は、開発、テスト、本番環境を含むインフラ内のすべてのXWiki Platform展開を特定するために、インベントリ評価を優先する必要があります。隔離されている、または内部向けであると見なされているインスタンスでさえ、他の手段で初期ネットワークアクセスを獲得した高度な攻撃者にとっての侵入経路となり得ます。セキュリティチームは、利用可能なパッチ情報についてXWikiサポートに連絡し、重要なシステムにアップデートを展開する前に、非本番環境でのパッチ展開のテスト手順を確立する必要があります。また、パッチ適用前に悪用が発生した場合の潜在的な横方向の移動を制限するために、ネットワークセグメンテーションを実装することも推奨されます。
元記事: https://gbhackers.com/cisa-issues-advisory-on-xwiki-flaw/