CVE-2023-33731 — eScan Management Console: Reflektiertes Cross-Site-Scripting (XSS)

Inhaltsverzeichnis

• Überblick
• Schwachstellendetails
• Schweregrad & CVSS-Score
• Betroffenes Produkt
• Technische Analyse
• Proof of Concept
• Auswirkungen
• Mitigation & Behebung
• Offenlegungszeitplan
• Referenzen
• Autor

Überblick

Eine Reflektierte Cross-Site-Scripting (XSS)-Schwachstelle wurde in der eScan Management Console (Version 14.0.1400.2281) von Microworld Technologies entdeckt. Die Schwachstelle befindet sich im Dashboard Details (DashBoardDetails)-Endpunkt, bei dem mehrere Query-String-Parameter ohne ordnungsgemäße Bereinigung oder Ausgabekodierung in die HTML-Antwort übernommen werden. Ein nicht authentifizierter Remote-Angreifer kann eine bösartige URL erstellen und einen authentifizierten Administrator dazu verleiten, darauf zu klicken, wodurch beliebiges JavaScript in der Browsersitzung des Opfers ausgeführt wird.

Schwachstellendetails

Schweregrad & CVSS-Score

CVSS 3.1-Vektor: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Betroffenes Produkt

• Produkt: eScan Management Console (webbasierte Endpoint-Sicherheitsverwaltungsplattform)
• Anbieter: Microworld Technologies
• Version: 14.0.1400.2281
• Software-Link: https://cl.escanav.com/ewconsole.dll
• Plattform: Windows

Technische Analyse

Die eScan Management Console stellt eine Weboberfläche (ewconsole.dll) bereit, die verschiedene Verwaltungsvorgänge einschließlich Dashboard-Ansichten übernimmt. Der DashBoardDetails-Endpunkt akzeptiert mehrere Query-String-Parameter (type, subtype, result, windowname, DisplayOSSelection) und verwendet deren Werte, um HTML-Inhalte in der Serverantwort dynamisch zu erzeugen.

Grundursache

Der serverseitige Code bereinigt (sanitize) oder kodiert (HTML-encode) die vom Benutzer gelieferten Eingaben nicht, bevor er sie in den Antworttext einbettet. Insbesondere wird der Wert des Parameters type direkt in einen HTML-Attributkontext übernommen, ohne Sonderzeichen wie ", < und > zu escapen. Dadurch kann ein Angreifer den Attributkontext verlassen und beliebige HTML-/JavaScript-Tags injizieren.

Derselbe Fehler ist auch in den Parametern subtype und result vorhanden.

Anfällige Anfrage

GET /ewconsole/ewconsole.dll/DashBoardDetails?type=<PAYLOAD>&subtype=<PAYLOAD>&result=<PAYLOAD>&windowname=usrmgmt&DisplayOSSelection=true
Host: cl.escanav.com

Payload-Aufschlüsselung

Die URL-kodierte Payload PS%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E wird dekodiert zu:

PS"><script>alert(document.cookie)</script>

Proof of Concept

⚠️ Nur für Bildungs- und autorisierte Sicherheitsforschungszwecke.

Voraussetzungen

1. Das Opfer muss als authentifizierter Benutzer (z. B. als Administrator) in der eScan Management Console angemeldet sein.
2. Der Angreifer übermittelt dem Opfer die folgende präparierte URL (z. B. per E-Mail-Phishing, Chat-Nachricht oder eingebetteten Link).

Schritte zur Reproduktion

Schritt 1: Melden Sie sich mit gültigen Anmeldedaten bei der eScan Management Console an.

Schritt 2: Rufen Sie die folgende präparierte URL auf (oder übermitteln Sie sie einem authentifizierten Opfer):

https://cl.escanav.com/ewconsole/ewconsole.dll/DashBoardDetails?type=PS%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&subtype=13&result=3&windowname=usrmgmt&DisplayOSSelection=true

Dekodierte Payload im Parameter type:

PS"><script>alert(document.cookie)</script>

Schritt 3: Beim Laden der Seite wird das injizierte Skript im Browser ausgeführt. Ein Alert-Dialog erscheint und zeigt das aktive Session-Cookie des Opfers.

Schritt 4: Der Angreifer erfasst den Wert des Session-Cookies und nutzt ihn, um die Sitzung des Administrators zu übernehmen und die volle Kontrolle über die Management Console zu erlangen.

Auswirkungen

Eine erfolgreiche Ausnutzung dieser Schwachstelle ermöglicht einem Angreifer Folgendes:

• Session-Hijacking / Kontenübernahme: Das Session-Cookie des authentifizierten Administrators stehlen und sich ohne dessen Anmeldedaten ausgeben.
• Anmeldedaten-Diebstahl: Ein gefälschtes Login-Formular oder einen Keylogger injizieren, um Benutzernamen und Passwörter zu erfassen.
• Malware-Verteilung: Das Opfer auf eine bösartige Website umleiten oder stillschweigend Malware herunterladen.
• UI-Manipulation / Defacement: Den Inhalt der Management-Console-Seite verändern, um den Administrator in die Irre zu führen.
• Privilegienerweiterung: Da das Ziel in der Regel ein Administrator ist, führt ein erfolgreicher Angriff zur vollständigen Kontrolle über die Endpoint-Sicherheitsverwaltungsplattform und kann sämtliche verwalteten Endpunkte der Organisation gefährden.

Mitigation & Behebung

Für Anbieter / Entwickler

1. Ausgabekodierung: Alle vom Benutzer gelieferten Eingaben HTML-kodieren, bevor sie in Antworten übernommen werden (z. B. < → <, > → >, " → ", ' → ').
2. Eingabevalidierung: Strenge Allowlists durchsetzen; z. B. sollten subtype und result nur numerische Werte akzeptieren und alles andere ablehnen.
3. Content Security Policy (CSP): Einen strengen Content-Security-Policy-HTTP-Response-Header bereitstellen, um die Ausführung von Inline-Skripten zu verhindern.
4. HttpOnly-Cookie-Flag: Setzen Sie das HttpOnly-Attribut für Session-Cookies, sodass JavaScript nicht darauf zugreifen kann, wodurch die Auswirkungen von XSS-Schwachstellen erheblich begrenzt werden.
5. Wenden Sie die neuesten Sicherheitspatches an oder aktualisieren Sie auf eine Version der eScan Management Console, die diese Schwachstelle behebt.

Für Systemadministratoren / Benutzer

• Vermeiden Sie das Klicken auf unaufgeforderte oder unerwartete Links, die auf Ihre eScan Management Console verweisen.
• Beschränken Sie den Zugriff auf die Management Console auf vertrauenswürdige Netzwerke; setzen Sie sie nicht direkt dem öffentlichen Internet aus – verwenden Sie ein VPN oder eine IP-Allowlist.
• Überwachen Sie die Sitzungsaktivität und protokollieren Sie alle administrativen Aktionen.
• Wenden Sie vom Anbieter bereitgestellte Sicherheitsupdates umgehend an.

Offenlegungszeitplan

Referenzen

• NVD — CVE-2023-33731
• Microworld Technologies — eScan Management Console
• CWE-79: Unsachgemäße Neutralisierung von Eingaben während der Webseitengenerierung
• OWASP: Cross-Site Scripting (XSS)
• OWASP XSS Prevention Cheat Sheet

Autor

Sahil Ojha

Diese Schwachstelle wurde verantwortungsvoll recherchiert und offengelegt, um das Bewusstsein für Sicherheitsschwächen in weit verbreiteter Sicherheitsverwaltungssoftware zu schärfen. Alle hier bereitgestellten Informationen dienen ausschließlich Bildungs- und defensiven Sicherheitsforschungszwecken.