CVE-2023-34835 — eScan Management Console: Reflektiertes Cross-Site-Scripting (XSS)

Inhaltsverzeichnis

• Übersicht
• Details zur Schwachstelle
• Betroffenes Produkt
• Technische Analyse
• Proof of Concept (Schritte zur Reproduktion)
• Auswirkungen
• Maßnahmen und Behebung
• Referenzen
• Haftungsausschluss

Übersicht

Eine Reflected Cross-Site Scripting (XSS)-Schwachstelle wurde in der Microworld Technologies eScan Management Console, Version 14.0.1400.2281, entdeckt. Ein authentifizierter Remote-Angreifer kann beliebigen JavaScript-Code im Browser des Opfers injizieren und ausführen, indem er den POST-Parameter delete_file innerhalb der Löschfunktion für Report Templates manipuliert.

Diese Schwachstelle wurde von Sahil Ojha am 23. Juni 2023 entdeckt und verantwortungsvoll offengelegt und hat die Kennung CVE-2023-34835 erhalten.

Details zur Schwachstelle

Betroffenes Produkt

Die eScan Management Console ist eine von Microworld Technologies entwickelte Enterprise-Sicherheitsmanagement-Plattform. Sie wird von Organisationen genutzt, um Endpoint-Sicherheitsrichtlinien, Antivirus-Bereitstellungen, Berichte und Warnmeldungen zentral über ihr internes Netzwerk zu verwalten. Da die Konsole in der Regel in einem internen (Unternehmens-)Netzwerk betrieben wird und für den Zugriff eine Authentifizierung erforderlich ist, kann diese Schwachstelle von authentifizierten Insidern oder Angreifern ausgenutzt werden, die bereits Zugang zum Netzwerk erlangt haben.

Verwundbare Komponente: Der Lösch-Endpunkt für Report Templates bereinigt den Parameter delete_file nicht und kodiert ihn auch nicht, bevor er in der HTTP-Antwort zurückgegeben wird, wodurch JavaScript-Payloads im Kontext der Browsersitzung des Opfers ausgeführt werden können.

Technische Analyse

Die Funktion Report Template der eScan Management Console stellt einen POST-Endpunkt zum Löschen von Berichtsvorlagen-Dateien bereit. Der serverseitige Handler reflektiert den Wert des Parameters delete_file direkt in der HTML-Antwort, ohne ordnungsgemäße Ausgabekodierung oder Eingabevalidierung. Wenn eine manipulierte Anforderung mit einem JavaScript-Payload gesendet wird, interpretiert der Browser das injizierte Skript und führt es aus.

Zusammenfassung des Angriffsvektors:

1. Ein Angreifer (oder böswilliger Insider) fängt eine POST-Anfrage an den Endpunkt zum Löschen von Report-Templates ab oder erstellt eine solche.
2. Der Parameter delete_file wird durch einen XSS-Payload wie "> ersetzt.
3. Der Server reflektiert den nicht bereinigten Wert in der Antwortseite.
4. Der Browser des Opfers rendert die Antwort und führt das injizierte Skript aus.

Da Sitzungscookies über document.cookie zugänglich sind (und in der betroffenen Version nicht durch das HttpOnly-Flag geschützt sind), kann dieses XSS mit einem Session-Hijacking-Angriff zu einer vollständigen Übernahme des Kontos kombiniert werden.

Proof of Concept (Schritte zur Reproduktion)

Voraussetzungen: Gültige Anmeldedaten für eine eScan Management Console-Instanz (Zugriff auf das interne Netzwerk erforderlich).
Benötigte Werkzeuge: Ein Webbrowser und ein HTTP-Interception-Proxy (z. B. Burp Suite).

Schritt 1 — Anmelden an der eScan Management Console

Melden Sie sich mit gültigen Benutzeranmeldedaten an der eScan Management Console an. Die Konsole ist in der Regel nur aus dem internen Netzwerk der Organisation erreichbar.

Schritt 2 — Navigieren Sie zu Report Templates und lösen Sie eine Löschung aus

1. Suchen Sie im linken Navigationsmenü den Abschnitt Report Template.
2. Wählen Sie eine beliebige vorhandene Report-Vorlage aus der Liste aus.
3. Klicken Sie auf die Schaltfläche Löschen, um eine Löschaktion auszulösen.

Schritt 3 — Abfangen der DELETE-Anfrage in Burp Suite

Fangen Sie mit Burp Suite (oder einem anderen HTTP-Proxy) die ausgehende POST-Anfrage ab, die beim Klicken auf die Löschen-Schaltfläche erzeugt wird. Die Anfrage enthält einen Parameter delete_file, dessen Wert der Name der Report-Vorlagendatei ist.

Ersetzen Sie den Wert von delete_file durch einen XSS-Payload, zum Beispiel:

delete_file=">

Schritt 4 — Leiten Sie die Anfrage weiter und beobachten Sie die Codeausführung

Leiten Sie die modifizierte Anfrage weiter. Der Server reflektiert den injizierten Payload in der Antwort, ohne ihn zu bereinigen. Der Browser führt das JavaScript aus, und ein Dialogfeld zeigt das Sitzungscookie des Opfers an.

Das hier offengelegte Sitzungscookie kann an einen vom Angreifer kontrollierten Server exfiltriert und zur Übernahme der authentifizierten Sitzung (Kontoübernahme) verwendet werden.

Auswirkungen

Auch wenn die Ausnutzung eine authentifizierte Sitzung in einem internen Netzwerk erfordert, ist die Auswirkung erheblich, da Administratoren der eScan Management Console in der Regel umfassenden Zugriff auf Endpoint-Sicherheitskonfigurationen haben.

Maßnahmen und Behebung

Die folgenden Maßnahmen werden zur Behebung dieser Schwachstelle empfohlen:

1. Vendor-Patches einspielen: Kontaktieren Sie den Support von Microworld Technologies (https://www.escanav.com) oder prüfen Sie das offizielle Download-Portal auf aktualisierte Versionen der eScan Management Console, die diese Schwachstelle beheben.
2. Eingabevalidierung: Stellen Sie sicher, dass alle benutzergestützten Eingaben (einschließlich POST-Parameter wie delete_file) vor der Verarbeitung anhand einer strengen Zulassungsliste validiert werden.
3. Ausgabekodierung: Alle in HTML-Antworten reflektierten Daten müssen ordnungsgemäß HTML-kodiert werden (z. B. < → <, > → >), um Skriptinjektion zu verhindern.
4. HttpOnly-Cookie-Flag setzen: Markieren Sie Sitzungscookies mit dem Attribut HttpOnly, um den Zugriff durch clientseitige Skripte zu verhindern und die Auswirkungen etwaiger XSS-Schwachstellen zu verringern.
5. Content Security Policy (CSP): Implementieren Sie einen strengen CSP-Header, um die Quellen zu beschränken, von denen Skripte geladen und ausgeführt werden dürfen.
6. Netzwerkzugriffskontrollen: Beschränken Sie den Zugriff auf die eScan Management Console auf vertrauenswürdige IP-Bereiche und verlangen Sie für den Fernzugriff ein VPN.

Referenzen

• NVD – CVE-2023-34835
• MITRE CVE-Eintrag – CVE-2023-34835
• CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)
• OWASP – Cross Site Scripting (XSS)
• Microworld Technologies – eScan Antivirus

Haftungsausschluss

Dieses Repository und die darin enthaltenen Informationen werden ausschließlich zu Bildungs- und autorisierten Sicherheitsforschungszwecken bereitgestellt. Die Proof-of-Concept-Details sollen Verteidigern helfen, die Schwachstelle zu verstehen, damit sie ordnungsgemäß behoben werden kann.

Verwenden Sie diese Informationen nicht, um Systeme anzugreifen oder zu gefährden, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Genehmigung zum Testen haben. Die unbefugte Nutzung dieser Informationen kann gegen geltende Gesetze und Vorschriften verstoßen. Der Autor übernimmt keine Haftung für einen Missbrauch dieses Materials.