sahiloj/cve-2023-34836
Eine Reflected Cross-Site-Scripting-Schwachstelle (XSS) besteht in der Microworld Technologies eScan Management Console v14.0.1400.2281. Die verwundbaren Parameter sind Dtltyp und ListName, die als Teil der Funktion File Activity Report im Abschnitt User Activity verarbeitet werden.
CVE-ID: CVE-2023-34836
Schwachstellentyp: Reflektiertes Cross-Site-Scripting (XSS)
Betroffenes Produkt: Microworld Technologies eScan Management Console
Betroffene Version: 14.0.1400.2281
Schweregrad: Mittel (CVSS 3.1 Basis-Score: 6.1 — AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
Entdeckt von: Sahil Ojha
Offenlegungsdatum: 2023-06-23
Anbieter: Microworld Technologies
In Microworld Technologies eScan Management Console v14.0.1400.2281 besteht eine Schwachstelle für Reflektiertes Cross-Site-Scripting (XSS). Die Anwendung bereinigt oder codiert benutzergesteuerte Eingaben nicht ordnungsgemäß, bevor sie in HTTP-Antworten zurückgespiegelt werden. Dadurch kann ein authentifizierter Angreifer – oder ein nicht authentifizierter Angreifer, der einen authentifizierten Benutzer dazu verleiten kann, eine manipulierte URL aufzurufen – beliebigen JavaScript-Code in der Browsersitzung des Opfers injizieren und ausführen.
Die anfälligen Parameter sind Dtltyp und , die im Rahmen der Funktion (File Activity Report) im Bereich (User Activity) verarbeitet werden.
ListNameDa das injizierte Skript im Kontext der authentifizierten Sitzung des Opfers ausgeführt wird, kann ein erfolgreicher Exploit dazu verwendet werden, um:
| Feld | Details |
|---|---|
| Produkt | eScan Management Console |
| Anbieter | Microworld Technologies |
| Version | 14.0.1400.2281 |
| Software-URL | https://cl.escanav.com/ewconsole.dll |
| Plattform | Windows |
| Modul | Benutzeraktivität → Dateiaktivitätsbericht |
| Parameter | Dtltyp, ListName |
| Anfragetyp | HTTP GET |
Die Webanwendung der eScan Management Console akzeptiert benutzergesteuerte Werte über die GET-Parameter Dtltyp und ListName und nimmt sie in den HTML-Antworttext auf, ohne eine angemessene Eingabevalidierung, Ausgabecodierung oder Durchsetzung einer Content Security Policy (CSP) durchzuführen. Diese nicht bereinigte Spiegelung von Benutzereingaben ermöglicht es einem Angreifer, beliebiges HTML/JavaScript zu injizieren, das im Browser jedes Benutzers ausgeführt wird, der die manipulierte URL lädt.
Dtltyp oder ListName.http://<target>/ewconsole.dll?...&Dtltyp=<script>alert(document.cookie)</script>&ListName=<script>alert(1)</script>
URL-codierte Form (wie sie in einer tatsächlichen HTTP-Anfrage erscheinen würde):
http://<target>/ewconsole.dll?...&Dtltyp=%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&ListName=%3Cscript%3Ealert%281%29%3C%2Fscript%3E
Hinweis: Die genaue URL-Struktur hängt von Ihrer Zielinstallation ab. Ersetzen Sie
<target>durch die IP-Adresse oder den Hostnamen des eScan-Management-Console-Servers.
Melden Sie sich mit gültigen Anmeldedaten bei der eScan Management Console an und navigieren Sie zu Benutzeraktivität → Dateiaktivitätsbericht.
Verwenden Sie einen HTTP-Interceptions-Proxy (z. B. Burp Suite), um die GET-Anfrage zu erfassen, die beim Laden der Berichtsseite gesendet wird.
Ändern Sie die erfasste Anfrage, indem Sie einen XSS-Payload in die Parameter Dtltyp und/oder ListName injizieren, und leiten Sie die Anfrage dann an den Server weiter.
Nach dem Weiterleiten der Anfrage wird das injizierte Skript im Browser ausgeführt. Der folgende Screenshot zeigt ein durch den Payload ausgelöstes Alert-Pop-up. Dieser Payload kann modifiziert werden, um das Sitzungs-Cookie des Opfers zu exfiltrieren oder andere schädliche Aktionen durchzuführen.
| Auswirkungsbereich | Beschreibung |
|---|---|
| Vertraulichkeit | Sitzungs-Cookies und vertrauliche Daten, die für das Skript sichtbar sind, können an einen Angreifer exfiltriert werden. |
| Integrität | Der Angreifer kann als das Opfer zustandsändernde Aktionen ausführen (Konfigurationsänderungen, Benutzerverwaltung). |
| Verfügbarkeit | Denial-of-Service-Angriffe gegen die Browsersitzung des Opfers sind möglich. |
Microworld Technologies sollte diese Schwachstelle durch die Umsetzung der folgenden Maßnahmen beheben:
Dtltyp und ListName entsprechen, oder bereinigen Sie diese (z. B. durch eine Zulassungsliste akzeptabler Werte).Content-Security-Policy-HTTP-Header bereit, um die Quellen einzuschränken, von denen Skripte geladen werden können, und um die Ausführung von Inline-Skripten zu blockieren.HttpOnly und Secure, um die Auswirkungen zukünftiger XSS-Schwachstellen zu verringern.Dieses Proof-of-Concept wird ausschließlich zu Bildungs- und Sicherheitsforschungszwecken veröffentlicht. Das Ausnutzen von Schwachstellen auf Systemen ohne ausdrückliche schriftliche Genehmigung ist illegal und unethisch. Der Autor übernimmt keine Verantwortung für einen Missbrauch der hier bereitgestellten Informationen.