Aperçu

Une vulnérabilité de Cross-Site Scripting reflété (XSS) a été découverte dans la Console de gestion eScan (version 14.0.1400.2281) développée par Microworld Technologies. La vulnérabilité existe dans le point d'accès Dashboard Details (DashBoardDetails), où plusieurs paramètres de chaîne de requête sont reflétés dans la réponse HTML sans validation ni encodage de sortie appropriés. Un attaquant distant non authentifié peut créer une URL malveillante et inciter un administrateur authentifié à cliquer dessus, ce qui entraîne l'exécution de JavaScript arbitraire dans la session de navigateur de la victime.

Détails de la vulnérabilité

Sévérité et score CVSS

Vecteur CVSS 3.1 : AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Produit concerné

• Produit : Console de gestion eScan (plateforme de gestion de sécurité des endpoints basée sur le web)
• Fournisseur : Microworld Technologies
• Version : 14.0.1400.2281
• Lien logiciel : https://cl.escanav.com/ewconsole.dll
• Plateforme : Windows

Analyse technique

La console de gestion eScan expose une interface web (ewconsole.dll) qui gère diverses opérations d'administration, y compris les vues du tableau de bord. Le point d'accès DashBoardDetails accepte plusieurs paramètres de chaîne de requête (type, subtype, result, windowname, DisplayOSSelection) et utilise leurs valeurs pour construire dynamiquement du contenu HTML dans la réponse du serveur.

Cause racine

Le code côté serveur ne valide ni n'encode en HTML les entrées fournies par l'utilisateur avant de les intégrer dans le corps de la réponse. Plus précisément, la valeur du paramètre type est reflétée directement dans un contexte d'attribut HTML sans échapper les caractères spéciaux tels que ", < et >. Cela permet à un attaquant de sortir du contexte d'attribut et d'injecter des balises HTML/JavaScript arbitraires.

Le même défaut est présent dans les paramètres subtype et result.

Requête vulnérable

Décomposition de la charge utile

La charge utile encodée en URL PS%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E se décode en :

Preuve de concept

⚠️ À des fins éducatives et de recherche de sécurité autorisées uniquement.

Prérequis

1. La victime doit être connectée à la console de gestion eScan en tant qu'utilisateur authentifié (par exemple, un administrateur).
2. L'attaquant délivre l'URL malveillante suivante à la victime (par exemple, via un email de phishing, un message de chat ou un lien intégré).

Étapes de reproduction

Étape 1 : Connectez-vous à la console de gestion eScan avec des identifiants valides.

Étape 2 : Naviguez vers (ou délivrez à une victime authentifiée) l'URL malveillante suivante :

Charge utile décodée dans le paramètre type :

Étape 3 : Au chargement de la page, le script injecté s'exécute dans le navigateur. Une boîte de dialogue d'alerte apparaît affichant le cookie de session actif de la victime.

Étape 4 : L'attaquant capture la valeur du cookie de session et l'utilise pour détourner la session de l'administrateur, obtenant un contrôle total sur la console de gestion.

Impact

L'exploitation réussie de cette vulnérabilité permet à un attaquant de :

• Détournement de session / Prise de contrôle de compte : Voler le cookie de session de l'administrateur authentifié et usurper son identité sans avoir besoin de ses identifiants.
• Vol d'identifiants : Injecter un faux formulaire de connexion ou un enregistreur de frappe pour capturer les noms d'utilisateur et les mots de passe.
• Distribution de logiciels malveillants : Rediriger la victime vers un site malveillant ou télécharger silencieusement un logiciel malveillant.
• Manipulation de l'interface / Défiguration : Modifier le contenu de la page de la console de gestion pour induire l'administrateur en erreur.
• Élévation de privilèges : Étant donné que la cible est généralement un administrateur, une attaque réussie entraîne un contrôle total de la plateforme de gestion de sécurité des endpoints, compromettant potentiellement tous les endpoints gérés dans l'organisation.

Atténuation et correction

Pour le fournisseur / les développeurs

1. Encodage de sortie : Encoder en HTML toutes les entrées fournies par l'utilisateur avant de les refléter dans les réponses (par exemple, < → <, > → >, " → ", ' → ').
2. Validation des entrées : Appliquer des listes blanches strictes ; par exemple, subtype et result ne devraient accepter que des valeurs numériques et rejeter tout le reste.
3. Politique de sécurité du contenu (CSP) : Déployer un en-tête de réponse HTTP Content-Security-Policy strict pour empêcher l'exécution de scripts en ligne.
4. Attribut HttpOnly du cookie : Définir l'attribut HttpOnly sur les cookies de session afin que JavaScript ne puisse pas y accéder, limitant significativement l'impact de toute vulnérabilité XSS.
5. Mise à niveau / Correctif : Appliquer les derniers correctifs de sécurité ou mettre à niveau vers une version de la console de gestion eScan qui corrige cette vulnérabilité.

Pour les administrateurs système / utilisateurs

• Évitez de cliquer sur des liens non sollicités ou inattendus faisant référence à votre console de gestion eScan.
• Limitez l'accès à la console de gestion aux réseaux de confiance ; ne l'exposez pas directement sur Internet public — utilisez un VPN ou une liste blanche d'adresses IP.
• Surveillez l'activité des sessions et auditez toutes les actions administratives.
• Appliquez rapidement les mises à jour de sécurité fournies par le fournisseur.

Calendrier de divulgation

Références

• NVD — CVE-2023-33731
• Microworld Technologies — Console de gestion eScan
• CWE-79 : Neutralisation incorrecte des entrées lors de la génération de pages Web
• OWASP : Cross-Site Scripting (XSS)
• Aide-mémoire OWASP pour la prévention des XSS

Auteur

Sahil Ojha

Cette vulnérabilité a été recherchée et divulguée de manière responsable pour sensibiliser aux faiblesses de sécurité dans les logiciels de gestion de sécurité largement déployés. Toutes les informations fournies ici sont destinées uniquement à des fins éducatives et de recherche de sécurité défensive.