CVE-2023-33730 — eScan Management Console Rechteausweitung

Schweregrad: Kritisch
CVE-ID: CVE-2023-33730
Offengelegt: 30. Mai 2023
Autor: Sahil Ojha

Inhaltsverzeichnis

• Überblick
• Details zur Schwachstelle
• Auswirkungen
• Technische Analyse
• Proof of Concept
• Behebung
• Referenzen
• Haftungsausschluss

Überblick

eScan Management Console ist eine zentralisierte Sicherheitsmanagement-Lösung von Microworld Technologies. Sie ermöglicht IT-Administratoren in Unternehmen, eScan-Antiviren-/Endpoint-Protection-Agents im gesamten Netzwerk von einer einzigen webbasierten Konsole aus bereitzustellen, zu verwalten und zu überwachen.

Version 14.0.1400.2281 dieser Konsole enthält eine kritische Rechteausweitungs-Schwachstelle. Aufgrund einer fehlenden Autorisierungsprüfung im API-Endpunkt GetUserCurrentPwd kann jeder authentifizierte Benutzer — unabhängig von seiner Berechtigungsstufe — die Klartext-Passwörter aller in der Konsole registrierten Konten abrufen, einschließlich Administratorkonten. Dies ermöglicht sofort die vollständige Übernahme der Management-Konsole und damit auch aller verwalteten Endpunkte im Netzwerk.

Details zur Schwachstelle

Auswirkungen

Diese Schwachstelle hat kritische Auswirkungen in der Praxis:

• Horizontale Rechteausweitung — Ein normaler Benutzer (mit niedrigen Rechten) kann die Klartext-Passwörter aller anderen normalen Benutzer abrufen, was eine Kontoübernahme auf derselben Berechtigungsstufe ermöglicht.
• Vertikale Rechteausweitung — Durch Manipulation eines einzigen URL-Parameters (UsrId) kann derselbe Benutzer mit niedrigen Rechten das Klartext-Passwort des Administrator-Kontos abrufen und erhält damit die vollständige administrative Kontrolle über die eScan Management Console.
• Massenhafte Offenlegung von Anmeldedaten — Alle Benutzerpasswörter werden im Klartext gespeichert und zurückgegeben, d. h. ein einziger API-Aufruf kann gleichzeitig die Anmeldedaten für jedes Konto im System aufzählen (enumerieren).
• Vollständige Netzwerk-Kompromittierung — Da die eScan Management Console Antiviren-/Endpoint-Agents im gesamten Unternehmensnetzwerk steuert, kann ein administrativer Zugriff auf die Konsole einem Angreifer ermöglichen, den Endpunktschutz zu deaktivieren, schädliche Software bereitzustellen oder zu anderen Systemen im Netzwerk zu wechseln (Pivoting).

Technische Analyse

Die Schwachstelle befindet sich in der Funktion GetUserCurrentPwd, die über die Webschnittstelle der eScan Management Console bereitgestellt wird. Dieser Endpunkt soll es einem Benutzer ermöglichen, sein eigenes Passwort für Profilbearbeitungszwecke abzurufen. Die Implementierung weist jedoch einen Fehler in der Autorisierung auf Objektebene (BOLA / IDOR) auf:

1. Keine Eigentumsprüfung — Der Endpunkt akzeptiert einen UsrId-Parameter, prüft jedoch nicht, ob der anfragende Benutzer der Eigentümer des zu dieser ID gehörenden Kontos ist.
2. Keine Berechtigungsprüfung — Jede authentifizierte Sitzung darf diesen Endpunkt unabhängig von ihrer Rolle für jeden beliebigen UsrId-Wert aufrufen.
3. Speicherung/Antwort im Klartext — Passwörter werden im Klartext im HTTP-Antworttext zurückgegeben, wodurch ein anderweitig vorhandener Schutz durch Verschlüsselung oder Hashing umgangen wird.

Anfragemuster mit Schwachstelle:

GET /eScanWebConsole/webpages/...?action=GetUserCurrentPwd&UsrId=<TARGET_USER_ID> HTTP/1.1
Host: <escan-console-host>
Cookie: <valid-session-cookie>

Durch das Durchlaufen aufeinanderfolgender UsrId-Werte kann ein Angreifer die Anmeldedaten jedes Benutzers im System in einem einzigen automatisierten Durchlauf auslesen.

Proof of Concept

Hinweis: Die folgenden Schritte demonstrieren die Schwachstelle in einer kontrollierten Laborumgebung. Versuchen Sie nicht, diese Schritte gegen ein System zu reproduzieren, das Ihnen nicht gehört oder für das Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben.

Schritt 1 — Einen Benutzer mit niedrigen Rechten erstellen

Melden Sie sich mit gültigen Administrator-Anmeldedaten an der eScan Management Console an und erstellen Sie ein neues Benutzerkonto mit normaler (niedriger) Berechtigungsstufe.

Schritt 2 — Als Benutzer mit niedrigen Rechten anmelden

Melden Sie sich von der Administrator-Sitzung ab und melden Sie sich mit den Anmeldedaten des neu erstellten normalen Benutzers an.

Schritt 3 — Die GET-Anfrage zur Profilbearbeitung erfassen

Navigieren Sie als angemeldeter normaler Benutzer zum Abschnitt Profil bearbeiten / Passwort ändern. Fangen Sie den ausgehenden HTTP-Datenverkehr mit Burp Suite (oder einem vergleichbaren HTTP-Proxy) ab. Identifizieren und erfassen Sie die GetUserCurrentPwd-GET-Anfrage wie unten gezeigt.

Schritt 4 — Die Anfrage weiterleiten und das Klartext-Passwort beobachten

Senden Sie die erfasste Anfrage an Burp Suite Repeater und leiten Sie sie weiter. Beachten Sie, dass die Serverantwort das Klartext-Passwort des aktuell authentifizierten normalen Benutzers enthält — zum Abrufen sind keine Administratorrechte erforderlich.

Schritt 5 — Durch Modifizieren von UsrId zum Administrator eskalieren

Ändern Sie in Burp Suite Repeater den Parameter UsrId auf die ID des Administrator-Kontos (oder eines beliebigen anderen Kontos). Leiten Sie die geänderte Anfrage weiter. Der Server antwortet mit dem Klartext-Passwort des Administrators sowie den Passwörtern aller anderen Benutzer, deren UsrId angegeben wird.

Schritt 6 — Vollständige Kontoübernahme

Verwenden Sie das abgerufene Administrator-Passwort, um sich als Administrator an der Konsole anzumelden und volle administrative Rechte über die eScan Management Console und alle verwalteten Endpunkte im Netzwerk zu erlangen.

Behebung

Microworld Technologies sollte die folgenden Maßnahmen umsetzen:

1. Autorisierung auf Objektebene durchsetzen — Bevor ein Passwort (oder ein beliebiges anderes sensibles Feld) zurückgegeben wird, muss der Server prüfen, ob die UsrId in der Anfrage mit der ID des Sitzungsinhabers übereinstimmt. Anfragen zu Daten anderer Benutzer müssen mit HTTP 403 Forbidden abgelehnt werden.
2. Niemals Klartext-Passwörter zurückgeben — Passwörter müssen vor der Speicherung gehasht werden (z. B. mit bcrypt, Argon2) und dürfen niemals in irgendeiner Form an den Client zurückgegeben werden. Wenn eine Bestätigung des „aktuellen Passworts“ erforderlich ist, muss der Benutzer das Passwort erneut eingeben und der Hash serverseitig validiert werden.
3. Rollbasierte Zugriffskontrolle (RBAC) implementieren — Sensible administrative API-Funktionen sollten nur für Sitzungen mit der entsprechenden Berechtigungsstufe zugänglich sein.
4. Rate-Limiting und Anomalieerkennung anwenden — Begrenzen Sie die Rate, mit der der Endpunkt GetUserCurrentPwd pro Sitzung aufgerufen werden kann, und warnen Sie bei aufzählenden (enumerierenden) Zugriffsmustern.
5. Auf die neueste Version aktualisieren — Benutzer sollten die eScan Management Console auf die neueste verfügbare Version aktualisieren, die diese Schwachstelle behebt, wie von Microworld Technologies empfohlen.

Referenzen

• NVD — CVE-2023-33730
• MITRE CVE — CVE-2023-33730
• Microworld Technologies eScan
• OWASP — Broken Object Level Authorization (API1:2023)
• OWASP — Insecure Direct Object Reference (IDOR)

Haftungsausschluss

Dieses Repository und seine Inhalte werden ausschließlich zu Bildungs- und Forschungszwecken bereitgestellt. Die Schwachstellendetails und Proof-of-Concept-Schritte werden in Übereinstimmung mit den Grundsätzen der verantwortungsvollen Offenlegung (Responsible Disclosure) offengelegt, um Verteidigern zu helfen, das Problem zu verstehen und zu beheben.

Verwenden Sie diese Informationen nicht, um Systeme anzugreifen, zu kompromittieren oder sich unbefugten Zugriff zu verschaffen. Unbefugte Tests an Systemen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben, sind illegal und unethisch.

Der Autor und die Mitwirkenden übernehmen keinerlei Haftung für einen Missbrauch der in diesem Repository enthaltenen Informationen.