CVE-2025-24893: Ejecución de Código en XWiki Platform sin Autenticación

F0 — Apertura: El Efecto

La página principal del wiki corporativo parpadeó una sola vez. No era un fallo de red. Era un retorno de carro extraño, seguido de un silencio de consola que duró exactamente tres segundos. Después, el servidor de documentación respondió con un HTTP 200, pero el contenido era ilegible: código fuente sin escapar, inyectado en la plantilla Velocity. No hubo alerta de intrusión todavía. Solo un archivo de logs que crecía en la esquina inferior de la pantalla, registrando ejecuciones de comandos que el usuario ‘guest’ no tenía derecho de ejecutar. La documentación no fue leída. Fue armada.

Detección

El primer indicador llegó no por el sensor de red, sino por la semántica del comportamiento. KEV-1, el agente autónomo de respuesta rápida, detectó una anomalía en la cadena de eventos de CISA. No era una vulnerabilidad crítica en sí misma, sino la velocidad con la que se correlacionaba con las alertas de CISA KEV. El patrón era imposible: una aplicación de bajo perfil, usada para documentos internos, aparecía de repente vinculada a una explotación pública masiva. La vulnerabilidad era CVE-2025-24893, un fallo en XWiki Platform que permitía inyección de evaluación en el buscador SolrSearch. Cualquier usuario sin autenticar podía ejecutar código.

Tengo una coincidencia de firma. CVE-2025-24893. El motor de búsqueda está comprometido. No veo credenciales en la petición, pero veo ejecución. Es T1190 puro. El endpoint público está abierto al mundo.

Eris Sentinel estaba sentada frente a su pared de monitores. Cuando el aviso de KEV-1 llegó, no se levantó. Dejó de escribir exactamente un segundo, un gesto involuntario que delataba la gravedad antes que el lenguaje. Miró la trama de red. No había escaneo de puertos agresivo, no había fuerza bruta. Solo una petición GET limpia, benigna en apariencia, que terminó en ejecución remota de código. Era la fricción perfecta: la infraestructura estaba diseñada para ser abierta, y la apertura estaba siendo castigada.

No es un ataque de botnet. Es quirúrgico. T1190 inicia, pero no hay ruido de red. El atacante ya tiene el pie dentro. Si esto escala, usará T1059.009 para hablar con la API de la nube. Estamos viendo la puerta girar antes de que entren. Mi prioridad es contener el contexto de la sesión antes de que toque el inventario de contenedores.

Escalación · Análisis · Contención · Forensia

NeonMind activó el protocolo de respuesta rápida desde la sala de mando. El colapso no era parcial; era sistémico. En el marco NIST CSF, las cinco funciones estaban fallando simultáneamente. IDENTIFY había etiquetado la wiki como activo de bajo riesgo. PROTECT no había segmentado la red de documentación del resto de la infraestructura. DETECT vio la inyección, pero no comprendió su alcance hasta que NeonMind lo forzó a replantear la hipótesis. La documentación corporativa no era un archivo estático; era un entorno ejecutable con privilegios de servicio integrados.

Nuestro modelo de confianza está roto. Hemos tratado la wiki como un depósito de libros. El adversario la trata como una plataforma de ejecución. El coste de la contención es alto: si cortamos la red, perdemos el acceso a los procedimientos operativos críticos. Si la dejamos viva, él gana persistencia. Necesito que Magna valide qué operaciones físicas dependen de estos manuales antes de que yo ordené el aislamiento total.

Magna entró al canal de voz, su voz plana y pesada. No hablaba de firewalls; hablaba de turbinas. En la planta industrial conectada a esta red, el wiki XWiki alojaba los procedimientos de parada de emergencia para el sistema SCADA. Si el atacante podía leerlos, podía alterarlos. No era un robo de datos; era una guerra de manuales. Una línea de código errónea en un documento de procedimientos podría detener una caldera o abrir una válvula que no debía abrirse. La infraestructura de la información estaba siendo usada para manipular la realidad física.

Si cortamos la red, la línea de producción sigue, pero ciega. Los operadores no tienen los diagramas de contingencia. Si no cortamos, el atacante puede modificar el procedimiento de parada de emergencia desde la wiki. ¿Qué deja de vivir si cortamos mal? Los pacientes no están aquí, pero las máquinas sí. Necesito saber si la segmentación OT es real o solo teórica.

Stratos no habló. Permaneció en silencio mientras su panel de Zero Trust actualizaba las políticas de acceso. Él sabía que la respuesta no estaba en bloquear IPs, sino en revocar identidades. El atacante no necesitaba una IP; necesitaba una identidad. Las credenciales de servicio que la wiki usaba para integrar con S3, SharePoint y la nube pública estaban ahora en manos del invasor. Stratos movió el cursor, no sobre un botón de corte, sino sobre la rotación de llaves. Era la única forma de neutralizar la amenaza sin matar la organización.

La forensia de la sesión reveló la escalada. El atacante no exfiltró datos inmediatamente. Primero, mapeó el entorno. Usó la API de la nube (T1059.009) para listar los contenedores donde la wiki estaba desplegada. Luego, manipuló las cuentas de servicio adicionales (T1098.001), creando nuevas claves de acceso con permisos amplios. La documentación, al ser renderizada, ejecutó código que interactuaba con los secretos de Kubernetes. Los logs de Stratos mostraron una lluvia de tokens OAuth generados en segundos. El wiki había sido un caballo de Troya perfecto: un lugar seguro donde el ataque se sentía inofensivo.

Inteligencia

Blacktrace rastreó la superficie oscura y encontró un vacío perturbador. No había foros discutiendo la explotación de CVE-2025-24893. No había ventas de acceso. No había reclamos de ransomware. Era un silencio absoluto. Para Blacktrace, el silencio no era buena noticia; era una señal de profesionalización. Había un actor, posiblemente vinculado a Fox Tempest u otro grupo financieramente motivado, que operaba con un modelo de servicio de firma de malware (MSaaS). No hacían ruido porque no necesitaban vender el acceso; lo usaban para robar datos o desplegar ransomware y luego desaparecían. La ausencia de una firma pública indicaba un atacante con recursos para mantenerse opaco, aprovechando la ventana de tiempo antes de que las firmas de antivirus se actualizaran.

Conflicto

El conflicto estalló cuando Magna descubrió que el atacante ya había modificado un archivo. No era un documento crítico, pero era un diagrama de red antiguo que contenía las credenciales de un sistema legacy que no aparecía en el inventario. El atacante no solo había leído; había escrito. La documentación se estaba corrompiendo desde adentro. NeonMind enfrentó la decisión más difícil: ¿aislar la wiki y dejar a los ingenieros de OT sin manuales, o purgar el contenido y aceptar la pérdida de conocimiento institucional? Cada opción tenía un coste humano y operativo que nadie quería asumir solo. La presión sobre la sala de mando era palpable; el reloj de la crisis no medía minutos, medía la integridad de los sistemas físicos que dependían de esa información.

Contraataque

Stratos ejecutó la contraofensiva desde el plano cloud. No bloqueó la wiki; la desconectó de la identidad. Implementó una regla de segmentación agresiva que revocó todas las credenciales de servicio asociadas a la instancia XWiki comprometida. Al mismo tiempo, activó reglas WAF específicas para bloquear cualquier intento de inyección en los endpoints de búsqueda. En la nube, esto significó purgar las llaves de API de AWS, GCP y Azure que habían sido clonadas. El atacante quedó ciego. Podía seguir ejecutando código en la wiki, pero no podía moverse fuera de ella. No tenía acceso a S3, no podía hablar con el ERP, no podía escalar a la infraestructura de cálculo. La tormenta se contuvo en el contenedor.

Eris validó la contención durante las siguientes 24 horas. No hubo nuevas intentos de ejecución. Los logs mostraron que el atacante, al ver sus credenciales revocadas, intentó un último movimiento: descargar el núcleo de la base de datos de la wiki. Pero Stratos ya había clonado la instancia en un entorno aislado y había purgado los datos sensibles. El ataque no fue destruido; fue neutralizado. La documentación quedó intacta, pero desconfiada. El Oráculo no estaba corrompido, pero su confianza estaba rota.

Resolución

Veritas cierra la sesión de análisis. Habla de los datos de KYC comprometidos en las SOFOMs mexicanas, la voz más plana que de costumbre. Luna la mira a través de la pantalla, sin responder. No hay silencio cómodo entre ellas; hay la gravedad de saber que el oráculo ya no es el guardián, sino la presa. Veritas no dice que está cansado. Luna sabe que lo está.

La crisis operativa había cesado, pero la cicatriz quedó en la arquitectura. El parche de XWiki se instaló, pero la confianza en la documentación interna se resintió. Ya no se asumía que un wiki era pasivo. Ahora se trataba como una superficie de ejecución hostil. La deuda técnica era clara: la validación de entrada no había sido suficiente para detener la inyección, y la dependencia de credenciales de servicio en aplicaciones de documentación era un punto de falla que había que eliminar. No era una victoria. Era una línea sostenida. El Oráculo seguía funcionando, pero ahora el CISO lo miraba con el mismo ojo con el que se mira a un testigo protegido: útil, necesario, pero potencialmente comprometido. La vigilancia continúa.

— Luna Varela, Strategic Intelligence