CVE-2023-34836 — eScan Management Console 14.0.1400.2281: Reflektiertes Cross-Site-Scripting (XSS)

Überblick

CVE-ID: CVE-2023-34836
Schwachstellentyp: Reflektiertes Cross-Site-Scripting (XSS)
Betroffenes Produkt: Microworld Technologies eScan Management Console
Betroffene Version: 14.0.1400.2281
Schweregrad: Mittel (CVSS 3.1 Basis-Score: 6.1 — AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
Entdeckt von: Sahil Ojha
Offenlegungsdatum: 2023-06-23
Anbieter: Microworld Technologies

Beschreibung

In Microworld Technologies eScan Management Console v14.0.1400.2281 besteht eine Schwachstelle für Reflektiertes Cross-Site-Scripting (XSS). Die Anwendung bereinigt oder codiert benutzergesteuerte Eingaben nicht ordnungsgemäß, bevor sie in HTTP-Antworten zurückgespiegelt werden. Dadurch kann ein authentifizierter Angreifer – oder ein nicht authentifizierter Angreifer, der einen authentifizierten Benutzer dazu verleiten kann, eine manipulierte URL aufzurufen – beliebigen JavaScript-Code in der Browsersitzung des Opfers injizieren und ausführen.

Die anfälligen Parameter sind Dtltyp und ListName, die im Rahmen der Funktion Dateiaktivitätsbericht (File Activity Report) im Bereich Benutzeraktivität (User Activity) verarbeitet werden.

Da das injizierte Skript im Kontext der authentifizierten Sitzung des Opfers ausgeführt wird, kann ein erfolgreicher Exploit dazu verwendet werden, um:

• Sitzungs-Cookies zu stehlen und die Management-Console-Sitzung des Benutzers zu übernehmen.
• Unautorisierte Aktionen im Namen des Opfers auszuführen (Rechteausweitung, Konfigurationsänderungen usw.).
• Phishing-Inhalte zu liefern oder das Opfer auf eine schädliche Website umzuleiten.
• Tastatureingaben oder vertrauliche Daten zu erfassen, die in der Management-Console eingegeben werden.

Betroffene Komponente

Details zur Schwachstelle

Grundursache

Die Webanwendung der eScan Management Console akzeptiert benutzergesteuerte Werte über die GET-Parameter Dtltyp und ListName und nimmt sie in den HTML-Antworttext auf, ohne eine angemessene Eingabevalidierung, Ausgabecodierung oder Durchsetzung einer Content Security Policy (CSP) durchzuführen. Diese nicht bereinigte Spiegelung von Benutzereingaben ermöglicht es einem Angreifer, beliebiges HTML/JavaScript zu injizieren, das im Browser jedes Benutzers ausgeführt wird, der die manipulierte URL lädt.

Angriffsvektor

1. Der Angreifer erstellt eine bösartige URL mit einem XSS-Payload im Parameter Dtltyp oder ListName.
2. Der Angreifer bringt einen angemeldeten Benutzer der eScan Management Console (z. B. einen Administrator) dazu, auf den Link zu klicken – per Phishing-E-Mail, Social Engineering oder Watering-Hole-Angriff.
3. Der Console-Server spiegelt den Payload in der HTTP-Antwort zurück.
4. Der Browser des Opfers führt das injizierte Skript im Kontext der Origin der eScan Management Console aus.

Beispiel-Payload

http://<target>/ewconsole.dll?...&Dtltyp=<script>alert(document.cookie)</script>&ListName=<script>alert(1)</script>

URL-codierte Form (wie sie in einer tatsächlichen HTTP-Anfrage erscheinen würde):

http://<target>/ewconsole.dll?...&Dtltyp=%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&ListName=%3Cscript%3Ealert%281%29%3C%2Fscript%3E

Hinweis: Die genaue URL-Struktur hängt von Ihrer Zielinstallation ab. Ersetzen Sie <target> durch die IP-Adresse oder den Hostnamen des eScan-Management-Console-Servers.

Machbarkeitsnachweis

Schritt 1 — Anmelden und zur anfälligen Funktion navigieren

Melden Sie sich mit gültigen Anmeldedaten bei der eScan Management Console an und navigieren Sie zu Benutzeraktivität → Dateiaktivitätsbericht.

Schritt 2 — Die Anfrage abfangen

Verwenden Sie einen HTTP-Interceptions-Proxy (z. B. Burp Suite), um die GET-Anfrage zu erfassen, die beim Laden der Berichtsseite gesendet wird.

Schritt 3 — Den XSS-Payload injizieren

Ändern Sie die erfasste Anfrage, indem Sie einen XSS-Payload in die Parameter Dtltyp und/oder ListName injizieren, und leiten Sie die Anfrage dann an den Server weiter.

Schritt 4 — Die Codeausführung beobachten

Nach dem Weiterleiten der Anfrage wird das injizierte Skript im Browser ausgeführt. Der folgende Screenshot zeigt ein durch den Payload ausgelöstes Alert-Pop-up. Dieser Payload kann modifiziert werden, um das Sitzungs-Cookie des Opfers zu exfiltrieren oder andere schädliche Aktionen durchzuführen.

Auswirkungen

Abhilfemaßnahmen

Microworld Technologies sollte diese Schwachstelle durch die Umsetzung der folgenden Maßnahmen beheben:

1. Ausgabecodierung: Alle benutzergesteuerten Werte, die in HTML-Antworten zurückgespiegelt werden, müssen vor der Einfügung in den Antworttext HTML-escaped (kontextbewusste Ausgabecodierung) werden. Verwenden Sie eine gut getestete Codierungsbibliothek anstelle manueller String-Ersetzung.
2. Eingabevalidierung: Lehnen Sie Eingaben ab, die nicht dem erwarteten Format für die Parameter Dtltyp und ListName entsprechen, oder bereinigen Sie diese (z. B. durch eine Zulassungsliste akzeptabler Werte).
3. Content Security Policy (CSP): Stellen Sie einen strengen Content-Security-Policy-HTTP-Header bereit, um die Quellen einzuschränken, von denen Skripte geladen werden können, und um die Ausführung von Inline-Skripten zu blockieren.
4. HttpOnly- und Secure-Cookie-Flags: Kennzeichnen Sie alle Sitzungs-Cookies mit den Flags HttpOnly und Secure, um die Auswirkungen zukünftiger XSS-Schwachstellen zu verringern.
5. Regelmäßige Sicherheitsaudits: Führen Sie regelmäßige Penetrationstests und Code-Reviews der webbasierten Management-Console durch, um ähnliche Probleme proaktiv zu identifizieren und zu beheben.

Referenzen

• NVD — CVE-2023-34836
• MITRE-CVE-Eintrag
• OWASP: Cross-Site Scripting (XSS)
• OWASP: XSS Prevention Cheat Sheet
• Microworld Technologies eScan

Haftungsausschluss

Dieses Proof-of-Concept wird ausschließlich zu Bildungs- und Sicherheitsforschungszwecken veröffentlicht. Das Ausnutzen von Schwachstellen auf Systemen ohne ausdrückliche schriftliche Genehmigung ist illegal und unethisch. Der Autor übernimmt keine Verantwortung für einen Missbrauch der hier bereitgestellten Informationen.