CVE-2023-34835 — eScan Management Console: ثغرة برمجة نصية عبر المواقع من النوع المنعكس (Reflected XSS)

جدول المحتويات

• نظرة عامة
• تفاصيل الثغرة
• المنتج المتأثر
• التحليل الفني
• إثبات المفهوم (خطوات إعادة الإنتاج)
• التأثير
• التخفيف والإصلاح
• المراجع
• إخلاء المسؤولية

نظرة عامة

تم اكتشاف ثغرة برمجة نصية عبر المواقع من النوع المنعكس (Reflected XSS) في وحدة تحكم إدارة eScan من Microworld Technologies، الإصدار 14.0.1400.2281. يمكن للمهاجم عن بُعد (بعد المصادقة) حقن وتنفيذ كود JavaScript عشوائي في متصفح الضحية من خلال التلاعب بالمعامل delete_file في طلب POST الخاص بوظيفة حذف قالب التقرير.

تم اكتشاف هذه الثغرة والإفصاح عنها بمسؤولية بواسطة Sahil Ojha في 23 يونيو 2023، وتم تخصيص المعرف CVE-2023-34835 لها.

تفاصيل الثغرة

المنتج المتأثر

وحدة تحكم إدارة eScan هي منصة لإدارة الأمان المؤسسي طوّرتها Microworld Technologies. تُستخدم من قبل المؤسسات لإدارة سياسات أمن نقاط النهاية ونشر مضادات الفيروسات والتقارير والتنبيهات مركزياً عبر شبكتها الداخلية. نظراً لأن وحدة التحكم غالباً ما توجد على شبكة داخلية (خاصة بالشركة) وتتطلب المصادقة للوصول، فإن هذه الثغرة قابلة للاستغلال من قبل المخترقين الداخليين المصادقين أو المهاجمين الذين حصلوا على موطئ قدم على الشبكة.

المكون المتأثر: نقطة نهاية حذف قالب التقرير لا تقوم بتعقيم أو ترميز المعامل delete_file قبل عكسه في استجابة HTTP، مما يسمح بتنفيذ حمولات JavaScript في سياق جلسة متصفح الضحية.

التحليل الفني

تعرّض ميزة قالب التقرير في وحدة تحكم إدارة eScan نقطة نهاية POST لحذف ملفات قوالب التقارير. يقوم المعالج من جانب الخادم بعكس قيمة المعامل delete_file مباشرة في استجابة HTML بدون ترميز مخرجات أو التحقق من صحة المدخلات. عند إرسال طلب مُعدّ يحتوي على حمولة JavaScript، يقوم المتصفح بتفسير البرنامج النصي المُحقَن وتنفيذه.

ملخص ناقل الهجوم:

1. يقوم المهاجم (أو المخترق الداخلي الضار) باعتراض أو إنشاء طلب POST لنقطة نهاية حذف قالب التقرير.
2. يتم استبدال المعامل delete_file بحمولة XSS مثل ">.
3. يقوم الخادم بعكس القيمة غير المعقّمة في صفحة الاستجابة.
4. يقوم متصفح الضحية بعرض الاستجابة وتنفيذ البرنامج النصي المُحقَن.

نظراً لأن ملفات تعريف الارتباط الخاصة بالجلسة يمكن الوصول إليها عبر document.cookie (وليس محمية بعلم HttpOnly في الإصدار المتأثر)، يمكن ربط هذه الثغرة بهجوم اختطاف جلسة لتحقيق الاستيلاء الكامل على الحساب.

إثبات المفهوم (خطوات إعادة الإنتاج)

المتطلبات الأساسية: بيانات اعتماد صالحة لنسخة من وحدة تحكم إدارة eScan (يتطلب الوصول إلى الشبكة الداخلية).
الأدوات المطلوبة: متصفح ويب ووكيل اعتراض HTTP (مثل Burp Suite).

الخطوة 1 — تسجيل الدخول إلى وحدة تحكم إدارة eScan

قم بتسجيل الدخول إلى وحدة تحكم إدارة eScan باستخدام بيانات اعتماد مستخدم صالحة. يمكن الوصول إلى وحدة التحكم عادة فقط من داخل الشبكة الداخلية للمؤسسة.

الخطوة 2 — الانتقال إلى قوالب التقارير وبدء الحذف

1. في قائمة التنقل اليسرى، حدد قسم قالب التقرير.
2. اختر أي قالب تقرير موجود من القائمة.
3. انقر على زر حذف لبدء إجراء الحذف.

الخطوة 3 — اعتراض طلب DELETE في Burp Suite

باستخدام Burp Suite (أو وكيل HTTP آخر)، اعترض طلب POST الصادر الذي يتم إنشاؤه عند النقر على زر الحذف. سيحتوي الطلب على معامل delete_file تكون قيمته اسم ملف قالب التقرير.

استبدل قيمة delete_file بحمولة XSS، على سبيل المثال:

delete_file=">

الخطوة 4 — إعادة توجيه الطلب وملاحظة تنفيذ الكود

أعد توجيه الطلب المُعدّل. يقوم الخادم بعكس الحمولة المُحقنة في الاستجابة دون تعقيم. يقوم المتصفح بتنفيذ JavaScript، وتظهر رسالة تنبيه تعرض ملف تعريف ارتباط الجلسة الخاص بالضحية.

يمكن تصدير ملف تعريف ارتباط الجلسة المكشوف هنا إلى خادم يتحكم به المهاجم واستخدامه لاختطاف الجلسة المصادق عليها (الاستيلاء على الحساب).

التأثير

على الرغم من أن الاستغلال يتطلب جلسة مصادق عليها على شبكة داخلية، إلا أن التأثير كبير نظراً لأن مسؤولي وحدة تحكم إدارة eScan عادة ما يكون لديهم وصول واسع إلى تكوينات أمان نقاط النهاية.

التخفيف والإصلاح

يوصى باتخاذ الإجراءات التالية لمعالجة هذه الثغرة:

1. تطبيق تصحيحات المورّد: اتصل بدعم Microworld Technologies (https://www.escanav.com) أو تحقق من بوابة التنزيل الرسمية للحصول على إصدارات محدثة من وحدة تحكم إدارة eScan تعالج هذه الثغرة.
2. التحقق من صحة المدخلات: تأكد من التحقق من جميع المدخلات التي يقدمها المستخدم (بما في ذلك معاملات POST مثل delete_file) مقابل قائمة مسموح بها صارمة قبل المعالجة.
3. ترميز المخرجات: يجب ترميز جميع البيانات التي تنعكس في استجابات HTML بشكل صحيح (مثل < → <، > → >) لمنع حقن البرامج النصية.
4. تعيين علم HttpOnly لملفات تعريف الارتباط: قم بتمييز ملفات تعريف الارتباط الخاصة بالجلسة بالخاصية HttpOnly لمنع البرامج النصية من جانب العميل من الوصول إليها، مما يقلل من تأثير أي ثغرة XSS.
5. سياسة أمان المحتوى (CSP): قم بتنفيذ رأس CSP صارم لتحديد المصادر التي يمكن تحميل وتنفيذ البرامج النصية منها.
6. ضوابط الوصول إلى الشبكة: قصر الوصول إلى وحدة تحكم إدارة eScan على نطاقات IP موثوقة وطلب VPN للوصول عن بُعد.

المراجع

• NVD – CVE-2023-34835
• MITRE CVE Entry – CVE-2023-34835
• CWE-79: عدم التعقيم السليم للمدخلات أثناء إنشاء صفحة الويب (برمجة نصية عبر المواقع)
• OWASP – هجمات البرمجة النصية عبر المواقع (XSS)
• Microworld Technologies – eScan Antivirus

إخلاء المسؤولية

يتم توفير هذا المستودع والمعلومات الواردة فيه لأغراض تعليمية وبحث أمني مصرح به فقط. تهدف تفاصيل إثبات المفهوم إلى مساعدة المدافعين على فهم الثغرة من أجل معالجتها بشكل صحيح.

لا تستخدم هذه المعلومات لمهاجمة أو اختراق أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها. قد يؤدي الاستخدام غير المصرح به لهذه المعلومات إلى انتهاك القوانين واللوائح المعمول بها. لا يتحمل المؤلف أي مسؤولية عن أي إساءة استخدام لهذه المواد.