CVE-2023-33730 — Escalada de Privilegios en eScan Management Console

Severidad: Crítica
ID CVE: CVE-2023-33730
Divulgado: 30 de mayo de 2023
Autor: Sahil Ojha

---

Tabla de Contenidos

• Overview
• Vulnerability Details
• Impact
• Technical Analysis
• Proof of Concept
• Remediation
• References
• Disclaimer

---

Descripción general

eScan Management Console es una solución centralizada de gestión de seguridad desarrollada por Microworld Technologies. Permite a los administradores de TI empresariales implementar, gestionar y supervisar los agentes antivirus/protección de endpoints de eScan en toda una red desde una única consola basada en web.

La versión 14.0.1400.2281 de esta consola contiene una vulnerabilidad crítica de Escalada de Privilegios. Debido a una comprobación de autorización ausente en el endpoint de la API GetUserCurrentPwd, cualquier usuario autenticado — independientemente de su nivel de privilegio — puede recuperar las contraseñas en texto plano de todas las cuentas registradas en la consola, incluidas las cuentas de administrador. Esto permite inmediatamente la toma total del control de la consola de gestión y, por extensión, de todos los endpoints gestionados en la red.

---

Detalles de la vulnerabilidad

Campo	Valor
ID CVE	CVE-2023-33730
Producto	Microworld Technologies eScan Management Console
Versión vulnerable	14.0.1400.2281
Tipo de vulnerabilidad	Escalada de Privilegios / Autorización rota a nivel de objeto (BOLA / IDOR)
Vector de ataque	Red (usuario autenticado con bajos privilegios)
Autenticación	Requerida (cualquier cuenta de usuario válida)
Puntuación CVSS	Crítica
Fecha de divulgación	30 de mayo de 2023
Investigador	Sahil Ojha
Página web del proveedor	https://www.escanav.com
Software afectado	https://cl.escanav.com/ewconsole.dll
Probado en	Windows

---

Impacto

Esta vulnerabilidad tiene un impacto crítico en el mundo real:

• Escalada horizontal de privilegios — Un usuario normal (con bajos privilegios) puede recuperar las contraseñas en texto plano de todos los demás usuarios normales, lo que permite la toma de control de cuentas dentro del mismo nivel de privilegio.
• Escalada vertical de privilegios — Mediante la manipulación de un único parámetro de URL (UsrId), el mismo usuario con bajos privilegios puede recuperar la contraseña en texto plano de la cuenta de administrador, lo que otorga el control administrativo total sobre eScan Management Console.
• Exposición masiva de credenciales — Todas las contraseñas de los usuarios se almacenan y se devuelven en texto plano, lo que significa que una única llamada a la API puede enumerar las credenciales de todas las cuentas del sistema simultáneamente.
• Compromiso total de la red — Dado que eScan Management Console controla los agentes antivirus/endpoint en toda la red empresarial, el acceso administrativo a la consola puede permitir a un atacante desactivar la protección de endpoints, implementar software malicioso o pivotar hacia otros sistemas de la red.

---

Análisis técnico

La vulnerabilidad reside en la función GetUserCurrentPwd expuesta por la interfaz web de eScan Management Console. Este endpoint está diseñado para permitir que un usuario recupere su propia contraseña con fines de edición de perfil. Sin embargo, la implementación adolece de un fallo de Autorización rota a nivel de objeto (BOLA / IDOR):

1. Sin comprobación de propiedad — El endpoint acepta un parámetro UsrId pero no verifica que el usuario solicitante sea el propietario de la cuenta correspondiente a ese ID.
2. Sin comprobación de privilegios — Cualquier sesión autenticada, independientemente de su rol, puede invocar este endpoint con cualquier valor de UsrId.
3. Almacenamiento/respuesta de contraseñas en texto plano — Las contraseñas se devuelven en texto plano en el cuerpo de la respuesta HTTP, eludiendo cualquier protección de cifrado o hash que pudiera existir.

Patrón de solicitud vulnerable:

GET /eScanWebConsole/webpages/...?action=GetUserCurrentPwd&UsrId=<TARGET_USER_ID> HTTP/1.1
Host: <escan-console-host>
Cookie: <valid-session-cookie>

Al iterar sobre valores secuenciales de UsrId, un atacante puede volcar las credenciales de todos los usuarios del sistema en un único barrido automatizado.

---

Prueba de concepto

Nota: Los siguientes pasos demuestran la vulnerabilidad en un entorno de laboratorio controlado. No intente reproducir esto contra ningún sistema que no sea de su propiedad o para el que no tenga permiso escrito explícito para realizar pruebas.

Paso 1 — Crear un usuario con bajos privilegios

Inicie sesión en eScan Management Console con credenciales de administrador válidas y cree una nueva cuenta de usuario con acceso de nivel normal (bajo privilegio).

---

Paso 2 — Iniciar sesión como el usuario con bajos privilegios

Cierre la sesión de administrador e inicie sesión con las credenciales del nuevo usuario normal creado.

---

Paso 3 — Capturar la solicitud GET de edición de perfil

Mientras está conectado como el usuario normal, navegue a la sección Editar perfil / Cambiar contraseña. Intercepte el tráfico HTTP saliente con Burp Suite (o un proxy HTTP comparable). Identifique y capture la solicitud GET GetUserCurrentPwd como se muestra a continuación.

---

Paso 4 — Reenviar la solicitud y observar la contraseña en texto plano

Envíe la solicitud capturada a Burp Suite Repeater y reenvíela. Observe que la respuesta del servidor contiene la contraseña en texto plano del usuario normal autenticado actualmente — no se requieren privilegios de administrador para recuperarla.

---

Paso 5 — Escalar a administrador modificando UsrId

En Burp Suite Repeater, modifique el parámetro UsrId con el ID de la cuenta de administrador (o de cualquier otra cuenta). Reenvíe la solicitud modificada. El servidor responde con la contraseña en texto plano del administrador, así como con las contraseñas de cualquier otro usuario cuyo UsrId se proporcione.

---

Paso 6 — Toma de control total de la cuenta