Details zur Schwachstelle

Betroffene Software

Beschreibung der Schwachstelle

Die eScan Management Console bietet eine webbasierte Oberfläche zur Verwaltung der Endpoint-Sicherheit im Netzwerk einer Organisation. Die Funktion „Benutzerprofil anzeigen" stellt einen REST-ähnlichen Endpunkt bereit:

Der Parameter UsrId wird ohne Validierung, Escaping oder Verwendung parametrisierter Abfragen in eine Backend-SQL-Abfrage aufgenommen. Dies ermöglicht es einem authentifizierten Angreifer, beliebige SQL-Anweisungen in die Abfrage einzuschleusen, was zu Folgendem führt:

• Zeitbasierte Blind-SQL-Injection — Verwendung von WAITFOR DELAY, um die Ausnutzbarkeit zu bestätigen.
• Gestapelte Abfragen (Stacked Queries) — ermöglicht Payloads mit mehreren Anweisungen.
• Vollständiger Datenbank-Dump — Extraktion aller Tabellen, Benutzer, Anmeldedaten und sensiblen Daten aus dem SQL-Server-Backend.
• OS-Befehlsausführung — Nutzung der gespeicherten Prozedur xp_cmdshell des SQL Servers (aktiviert über sp_configure), um beliebige Betriebssystembefehle auf dem Server mit den Berechtigungen des SQL-Server-Dienstkontos auszuführen.

Auswirkungen

Eine erfolgreiche Ausnutzung dieser Schwachstelle ermöglicht es einem Angreifer:

• 🔴 Die gesamte SQL-Server-Datenbank auszulesen, einschließlich Benutzeranmeldedaten, Konfigurationsdaten und sensibler Unternehmensinformationen.
• 🔴 Eine interaktive OS-Shell auf dem Windows-Server zu erhalten, auf dem die SQL-Server-Instanz gehostet wird.
• 🔴 Beliebige OS-Befehle auszuführen (z. B. Hintertür-Konten erstellen, Daten exfiltrieren, zu internen Netzwerkressourcen wechseln).
• 🔴 Den eScan-Verwaltungsserver vollständig zu kompromittieren und möglicherweise alle von ihm verwalteten Endpunkte.

⚠️ Hinweis: Der Angreifer muss zunächst gültige Anmeldedaten für die eScan Management Console erlangen. Nach erfolgreicher Authentifizierung ist die Ausnutzung jedoch unkompliziert und erfordert keine erhöhten Konsolenrechte.

Proof of Concept

Schritt 1 — Zugriff auf den gefährdeten Endpunkt

Nach der Authentifizierung an der eScan Management Console navigieren Sie zur folgenden URL:

Dies gibt die aktuellen Benutzerprofildaten zurück und bestätigt, dass der Endpunkt erreichbar ist.

Schritt 2 — SQL-Injection mit zeitbasiertem Payload bestätigen

Fügen Sie den folgenden Zeitverzögerungs-Payload in den Parameter UsrId ein:

Aufbau des Payloads:

• ; — beendet die ursprüngliche SQL-Anweisung und beginnt eine neue (gestapelte Abfrage).
• WAITFOR DELAY '0:0:5' — weist den SQL Server an, 5 Sekunden zu warten, bevor er antwortet.
• -- — kommentiert den Rest der ursprünglichen Abfrage aus, um Syntaxfehler zu verhindern.

Wenn die Antwort des Servers um etwa 5 Sekunden verzögert wird, ist die Injektion bestätigt.

Schritt 3 — Datenbanken mit SQLMap auslesen

Sobald die Blind-SQL-Injection bestätigt ist, kann die gesamte Datenbank mithilfe von SQLMap ausgelesen werden:

Dies listet alle Datenbanken auf, die auf dem Backend-SQL-Server gehostet werden.

Schritt 4 — Eine OS-Shell über SQLMap erhalten

SQLMap kann den Angriff außerdem auf die Ausführung von Befehlen auf OS-Ebene ausweiten, indem xp_cmdshell aktiviert und genutzt wird:

Dies richtet eine interaktive OS-Shell auf dem SQL-Server-Host ein.

Schritt 5 — OS-Befehle auf dem Server ausführen

Mit eingerichteter OS-Shell können beliebige Windows-Befehle auf dem Server ausgeführt werden:

Behebung

Die folgenden Maßnahmen werden dringend empfohlen, um diese Schwachstelle zu beheben und abzuschwächen:

1. Parametrisierte Abfragen / Prepared Statements verwenden — Benutzereingaben niemals direkt in SQL-Abfragen einbetten. Verwenden Sie gebundene Parameter, um Daten von der Abfragelogik zu trennen.

2. Eingabevalidierung und -bereinigung — Validieren Sie alle vom Benutzer bereitgestellten Parameter serverseitig streng. Erzwingen Sie für numerische Bezeichner wie UsrId eine reine Ganzzahl-Eingabe und lehnen Sie jeden Wert ab, der Sonderzeichen enthält.

3. Herstellerpatch anwenden — Aktualisieren Sie die eScan Management Console auf die neueste verfügbare Version. Kontaktieren Sie den MicroWorld Technologies-Support oder konsultieren Sie dessen Sicherheitshinweise für die neueste gepatchte Version.

4. Prinzip der geringsten Rechte für Datenbankkonten — Das Datenbankkonto der Anwendung sollte nur über die mindestens erforderlichen Berechtigungen verfügen. Es sollte nicht über die Rollen sysadmin oder db_owner verfügen, und xp_cmdshell sollte deaktiviert sein.

5. xp_cmdshell deaktivieren — Deaktivieren Sie, sofern nicht ausdrücklich erforderlich, die erweiterte gespeicherte Prozedur xp_cmdshell auf der SQL-Server-Instanz:

   root@kitploit:~

   EXEC sp_configure 'xp_cmdshell', 0;
   RECONFIGURE;
   

6. Web Application Firewall (WAF) — Setzen Sie eine WAF ein, um gängige SQL-Injection-Muster als Maßnahme der Verteidigung in der Tiefe zu erkennen und zu blockieren.

7. Netzwerksegmentierung — Beschränken Sie den Zugriff auf die eScan Management Console auf vertrauenswürdige IP-Bereiche und stellen Sie sicher, dass der SQL Server nicht direkt dem Internet ausgesetzt ist.

Offenlegungszeitplan

Referenzen

• NVD — CVE-2023-31702 (aktuellen Veröffentlichungsstatus in der NVD prüfen)
• MITRE — CVE-2023-31702 (aktuellen Veröffentlichungsstatus bei MITRE prüfen)
• MicroWorld Technologies eScan
• SQLMap — Automatisches SQL-Injection-Tool
• OWASP — SQL Injection
• CWE-89 — Unsachgemäße Neutralisierung von Sonderzeichen in einem SQL-Befehl

Autor

Sahil Ojha — Sicherheitsforscher

Diese Offenlegung dient ausschließlich Bildungs- und Sicherheitsforschungszwecken. Die Ausnutzung dieser Schwachstelle gegen Systeme ohne ausdrückliche schriftliche Genehmigung ist illegal und unethisch.