XWikiのSolrスクリプトサービス脆弱性CVE-2025-32971、複数バージョンに影響、速やかなアップデートが必要

記事の要約

• XWikiのSolrスクリプトサービスに脆弱性CVE-2025-32971が発見された
• XWiki 4.5.1～15.10.12、16.0.0-rc-1～16.4.3、16.5.0-rc-1～16.7.0-rc-1に影響
• 権限チェックの不備により、スクリプト権限を持つユーザーがシステムに高負荷をかけたり、検索インデックスから一時的にドキュメントを削除できる可能性があった

XWikiのセキュリティ脆弱性に関する報告

XWikiは2025年4月30日、XWikiプラットフォームにおけるセキュリティ脆弱性CVE-2025-32971に関するセキュリティアドバイザリを公開した。この脆弱性は、特定のバージョンのXWikiプラットフォームに存在するSolrスクリプトサービスの権限チェックの不備に起因するものである。

影響を受けるバージョンは、4.5.1から15.10.12、16.0.0-rc-1から16.4.3、16.5.0-rc-1から16.7.0-rc-1までとされている。脆弱性を利用すると、スクリプト権限を持つユーザーが、ドキュメントのインデックス作成による高負荷攻撃や、検索インデックスからのドキュメントの一時的な削除を実行できる可能性があるのだ。

開発元は、15.10.13、16.4.4、16.8.0-rc-1において修正プログラムをリリースしており、ユーザーは速やかにアップデートを行う必要がある。この脆弱性は、不適切な権限チェックによって発生するものであり、適切な権限管理の重要性を改めて示すものだ。

影響を受けるXWikiバージョンと修正状況

Solrスクリプトサービスと権限管理

XWikiのSolrスクリプトサービスは、スクリプト実行のためのAPIを提供する。通常、このサービスへのアクセスにはプログラミング権限が必要だ。

• 権限チェックの不備
• `$xcontext.dropPermissions()`関数の考慮不足
• 攻撃による高負荷やデータ改ざんリスク

しかし、脆弱性のあるバージョンでは、`$xcontext.dropPermissions()`関数によってプログラミング権限が削除された場合でも、適切に権限がチェックされないため、攻撃者が不正な操作を実行できる可能性があった。

CVE-2025-32971に関する考察

今回の脆弱性CVE-2025-32971は、権限管理の不備によって発生したものであり、XWikiプラットフォームのセキュリティ対策の重要性を改めて示すものだ。迅速なパッチ適用が不可欠であり、ユーザーは最新バージョンへのアップデートを優先すべきである。

今後、同様の脆弱性が他のシステムでも発見される可能性があるため、開発者は権限管理の徹底、定期的なセキュリティ監査の実施、そして脆弱性発見時の迅速な対応体制の構築が重要となるだろう。また、ユーザーはセキュリティアップデートの通知を常に確認し、迅速に対応する必要がある。

さらに、XWiki開発チームには、より厳格なセキュリティテストの実施と、脆弱性発見時の迅速な対応、そしてユーザーへの情報提供の強化が期待される。継続的なセキュリティ向上への取り組みが、信頼性の高いプラットフォーム維持に繋がるだろう。

参考サイト/関連サイト