CVE-2023-34837 — eScan Management Console: Reflektiertes Cross-Site-Scripting (XSS)

Übersicht

CVE-2023-34837 ist eine reflektierte Cross-Site-Scripting (XSS)-Schwachstelle, die in der Microworld Technologies eScan Management Console Version 14.0.1400.2281 entdeckt wurde. Die Schwachstelle existiert im POST-Parameter GrpPath innerhalb der Funktion Nicht verwaltete Computer → Netzwerkcomputer. Da die vom Benutzer bereitgestellte Eingabe ohne ausreichende Bereinigung oder Ausgabekodierung in der Serverantwort reflektiert wird, kann ein Angreifer eine bösartige Anfrage erstellen, die die Ausführung beliebigen JavaScripts in der Browsersitzung des Opfers verursacht.

Reflektierte XSS-Schwachstellen sind in Verwaltungskonsolen besonders gefährlich, weil:

• Authentifizierte Sitzungen über erhöhte Berechtigungen verfügen.
• Eine erfolgreiche Ausnutzung zu Session-Hijacking, Diebstahl von Anmeldedaten, Verbreitung von Malware oder vollständiger Kontoübernahme führen kann.
• Der Angriff kann ausgelöst werden, indem ein authentifizierter Administrator dazu gebracht wird, einen manipulierten Link anzuklicken, oder indem eine laufende Anfrage abgefangen und modifiziert wird.

Details zur Schwachstelle

Technischer Hintergrund

Was ist reflektiertes XSS?

Reflektiertes XSS tritt auf, wenn eine Anwendung vom Benutzer bereitgestellte Daten (normalerweise aus einem HTTP-Anfrageparameter) übernimmt und ohne ordnungsgemäße Validierung oder Kodierung unmittelbar in die HTTP-Antwort aufnimmt. Im Gegensatz zu gespeichertem XSS wird die bösartige Nutzlast nicht in der Datenbank gespeichert — sie wird im selben Anfrage-/Antwortzyklus an den Benutzer reflektiert.

Grundursache

Die eScan Management Console bereinigt oder HTML-kodiert den Wert des Parameters GrpPath nicht, bevor er in die Seitenantwort aufgenommen wird. Das bedeutet, dass Sonderzeichen wie <, >, und " unverändert durchgereicht werden, sodass ein Angreifer aus dem beabsichtigten HTML-Kontext ausbrechen und ausführbares JavaScript injizieren kann.

Auswirkungen

Eine erfolgreiche Ausnutzung ermöglicht es dem Angreifer:

• Session-Cookies zu stehlen — und damit vollen Zugriff auf die Sitzung des Administrators zu erhalten.
• Aktionen im Namen des Opfers auszuführen — Benutzer hinzufügen, Konfigurationen ändern, Richtlinien bereitstellen usw.
• Das Opfer umzuleiten auf eine Phishing- oder Malware-Hosting-Seite.
• Tastatureingaben zu protokollieren oder vom Administrator eingegebene Formulardaten zu erfassen.

Proof of Concept

Verwundbarer Endpunkt

POST /[endpoint] HTTP/1.1
Host: <escan-console-host>
Content-Type: application/x-www-form-urlencoded
Cookie: <session-cookie>

GrpPath=<XSS_PAYLOAD>&...

Beispiel-Nutzlast

Die folgende Nutzlast injiziert einen <script>-Tag, der das aktuelle Dokument-Cookie anzeigt — was beweist, dass eine Skriptausführung im Kontext der authentifizierten Sitzung möglich ist:

<script>alert(document.cookie)</script>

Hinweis: In einem realen Angriffsszenario würde der alert()-Aufruf durch Code ersetzt, der das Cookie stillschweigend an einen vom Angreifer kontrollierten Server exfiltriert.

Schritte zur Reproduktion

Voraussetzungen: Zugriff auf die eScan Management Console mit gültigen Benutzer-/Admin-Anmeldedaten sowie einem HTTP-Abfangproxy (z. B. Burp Suite).

Schritt 1 — Bei der eScan Management Console anmelden.

Greifen Sie mit gültigen Anmeldedaten auf die Konsole im internen Netzwerk zu und navigieren Sie zu: Nicht verwaltete Computer → Netzwerkcomputer

Schritt 2 — Die POST-Anfrage in Burp Suite abfangen.

Aktivieren Sie Ihren Proxy, lösen Sie die Aktion Netzwerkcomputer-Scan / Gruppenpfad-Abfrage in der Konsole aus (z. B. durch Durchsuchen oder Aufklappen des Gruppenbaums) und erfassen Sie die ausgehende POST-Anfrage. Suchen Sie den Parameter GrpPath im Anfragetext und ersetzen Sie seinen Wert durch die XSS-Nutzlast:

GrpPath=<script>alert(document.cookie)</script>

Schritt 3 — Die Anfrage weiterleiten und die Skriptausführung beobachten.

Nach dem Weiterleiten der modifizierten Anfrage wird das injizierte Skript im Browser ausgeführt. Ein Alarmfeld erscheint und zeigt das Session-Cookie des aktuellen Benutzers an, was die erfolgreiche XSS-Ausnutzung bestätigt.

Behebung / Schadensbegrenzung

Die folgenden Maßnahmen werden zur Abschwächung dieser Schwachstelle empfohlen:

1. Eingabevalidierung — Lehnen Sie alle Zeichen ab oder entfernen Sie sie, die im Feld GrpPath nicht erwartet werden (z. B. nur alphanumerische Zeichen, Punkte und Schrägstriche für Pfadwerte zulassen).
2. Ausgabekodierung — Kodieren Sie alle vom Benutzer bereitgestellten Daten in HTML, bevor sie in einer HTTP-Antwort gerendert werden. Kodieren Sie mindestens <, >, ", ' und &.
3. Content Security Policy (CSP) — Setzen Sie einen strengen CSP-Header ein, um die Quellen einzuschränken, von denen Skripte geladen werden können, und blockieren Sie die Ausführung von Inline-Skripten.
4. Web Application Firewall (WAF) — Verwenden Sie eine WAF mit XSS-Erkennungsregeln als Maßnahme der Verteidigung in der Tiefe.
5. Patch des Herstellers — Prüfen Sie die eScan-Website auf Sicherheitshinweise und wenden Sie das neueste verfügbare Update an.

Offenlegungszeitplan

Referenzen

• CVE-2023-34837 – NVD
• Microworld Technologies – eScan
• OWASP – Cross-Site-Scripting (XSS)
• CWE-79: Improper Neutralization of Input During Web Page Generation

Haftungsausschluss

Dieses Repository wird ausschließlich zu Bildungs- und Forschungszwecken veröffentlicht. Die bereitgestellten Informationen sollen Sicherheitsexperten dabei helfen, die Schwachstelle zu verstehen, damit betroffene Systeme abgesichert werden können. Verwenden Sie diese Informationen nicht, um Systeme anzugreifen, die Ihnen nicht gehören oder für die Sie keine ausdrückliche schriftliche Erlaubnis zum Testen haben. Der Autor übernimmt keinerlei Haftung für Missbrauch der hierin enthaltenen Informationen.