CVE-2023-33730

La version 14.0.1400.2281 de eScan Management Console contient une élévation de privilèges via la fonction `GetUserCurrentPwd` qui permet aux attaquants de récupérer le mot de passe de n'importe quel utilisateur en texte clair.

Détails de la vulnérabilité

Impact

Cette vulnérabilité a un impact critique en conditions réelles :

• Élévation de privilèges horizontale — Un utilisateur normal (à faibles privilèges) peut récupérer les mots de passe en clair de tous les autres utilisateurs normaux, permettant une prise de contrôle de comptes au même niveau de privilège.
• Élévation de privilèges verticale — En manipulant un seul paramètre d'URL (UsrId), ce même utilisateur à faibles privilèges peut récupérer le mot de passe en clair du compte administrateur, ce qui accorde un contrôle administratif total sur l'eScan Management Console.
• Exposition massive d'identifiants — Tous les mots de passe utilisateur sont stockés et renvoyés en clair, ce qui signifie qu'un seul appel API peut énumérer les identifiants de tous les comptes du système simultanément.
• Compromission totale du réseau — Étant donné que l'eScan Management Console contrôle les agents antivirus/points de terminaison sur l'ensemble du réseau d'entreprise, un accès administratif à la console peut permettre à un attaquant de désactiver la protection des points de terminaison, de déployer des logiciels malveillants ou de se déplacer latéralement vers d'autres systèmes du réseau.

Analyse technique

La vulnérabilité réside dans la fonction GetUserCurrentPwd exposée par l'interface Web de l'eScan Management Console. Ce point de terminaison est conçu pour permettre à un utilisateur de récupérer son propre mot de passe afin de modifier son profil. Cependant, l'implémentation souffre d'un défaut d'autorisation cassée au niveau objet (BOLA / IDOR) :

1. Aucun contrôle de propriété — Le point de terminaison accepte un paramètre UsrId mais ne vérifie pas que l'utilisateur demandeur possède le compte correspondant à cet identifiant.
2. Aucun contrôle de privilège — Toute session authentifiée, quel que soit son rôle, est autorisée à invoquer ce point de terminaison pour n'importe quelle valeur de UsrId.
3. Stockage / réponse des mots de passe en clair — Les mots de passe sont renvoyés en clair dans le corps de la réponse HTTP, contournant ainsi toute protection par chiffrement ou hachage qui pourrait exister par ailleurs.

Modèle de requête vulnérable :

En itérant sur des valeurs séquentielles de UsrId, un attaquant peut extraire les identifiants de chaque utilisateur du système en une seule opération automatisée.

Preuve de concept

Remarque : Les étapes suivantes démontrent la vulnérabilité dans un environnement de laboratoire contrôlé. Ne pas tenter de reproduire cette attaque contre un système dont vous n'êtes pas propriétaire ou pour lequel vous ne disposez pas d'une autorisation écrite explicite de test.

Étape 1 — Créer un utilisateur à faibles privilèges

Connectez-vous à l'eScan Management Console avec des identifiants administrateur valides et créez un nouveau compte utilisateur avec un niveau d'accès normal (faibles privilèges).

Étape 2 — Se connecter en tant qu'utilisateur à faibles privilèges

Déconnectez-vous de la session administrateur et connectez-vous en utilisant les identifiants du nouvel utilisateur normal créé.

Étape 3 — Capturer la requête GET de modification de profil

Tout en étant connecté en tant qu'utilisateur normal, accédez à la section Modifier le profil / Changer le mot de passe. Interceptez le trafic HTTP sortant à l'aide de Burp Suite (ou d'un proxy HTTP équivalent). Identifiez et capturez la requête GET GetUserCurrentPwd comme indiqué ci-dessous.

Étape 4 — Transmettre la requête et observer le mot de passe en clair

Envoyez la requête capturée à Burp Suite Repeater et transmettez-la. Observez que la réponse du serveur contient le mot de passe en clair de l'utilisateur normal actuellement authentifié — aucun privilège administrateur n'est requis pour le récupérer.

Étape 5 — Passer administrateur en modifiant UsrId

Dans Burp Suite Repeater, modifiez le paramètre UsrId pour y mettre l'identifiant du compte administrateur (ou de tout autre compte). Transmettez la requête modifiée. Le serveur répond avec le mot de passe en clair de l'administrateur, ainsi que les mots de passe de tout autre utilisateur dont le UsrId est fourni.

Étape 6 — Prise de contrôle totale du compte

Utilisez le mot de passe administrateur récupéré pour vous connecter à la console en tant qu'administrateur, obtenant ainsi tous les privilèges administratifs sur l'eScan Management Console et sur tous les points de terminaison gérés du réseau.

Remédiation

Microworld Technologies devrait appliquer les mesures d'atténuation suivantes :

1. Appliquer l'autorisation au niveau objet — Avant de renvoyer un mot de passe (ou tout champ sensible), le serveur doit vérifier que le UsrId de la requête correspond à l'identifiant du propriétaire de la session. Les requêtes concernant les données d'autres utilisateurs doivent être rejetées avec une réponse HTTP 403 Forbidden.
2. Ne jamais renvoyer de mots de passe en clair — Les mots de passe doivent être hachés avant stockage (par exemple avec bcrypt, Argon2) et ne doivent jamais être renvoyés au client sous quelque forme que ce soit. Si une confirmation du « mot de passe actuel » est nécessaire, demandez à l'utilisateur de ressaisir le mot de passe et validez son hachage côté serveur.
3. Mettre en œuvre un contrôle d'accès basé sur les rôles (RBAC) approprié — Les fonctions API administratives sensibles ne doivent être accessibles qu'aux sessions disposant du niveau de privilège approprié.
4. Appliquer une limitation de débit et une détection d'anomalies — Limitez la fréquence à laquelle le point de terminaison GetUserCurrentPwd peut être appelé par session, et alertez sur les schémas d'accès de type énumération.
5. Mettre à niveau vers la dernière version — Les utilisateurs doivent mettre à niveau l'eScan Management Console vers la dernière version disponible corrigeant cette vulnérabilité, comme recommandé par Microworld Technologies.

Références

• NVD — CVE-2023-33730
• MITRE CVE — CVE-2023-33730
• Microworld Technologies eScan
• OWASP — Broken Object Level Authorization (API1:2023)
• OWASP — Insecure Direct Object Reference (IDOR)

Avertissement

Ce dépôt et son contenu sont fournis strictement à des fins éducatives et de recherche. Les détails de la vulnérabilité et les étapes de la preuve de concept sont divulgués conformément aux principes de divulgation responsable afin d'aider les défenseurs à comprendre et à corriger le problème.

N'utilisez pas ces informations pour attaquer, compromettre ou obtenir un accès non autorisé à un système. Tester sans autorisation des systèmes dont vous n'êtes pas propriétaire ou pour lesquels vous ne disposez pas d'une autorisation écrite explicite est illégal et contraire à l'éthique.

L'auteur et les contributeurs déclinent toute responsabilité en cas d'utilisation abusive des informations contenues dans ce dépôt.