Détails de la vulnérabilité

Qu'est-ce que le XSS réfléchi ?

Le Cross-Site Scripting (XSS) est une catégorie d'attaque par injection où des scripts malveillants sont injectés dans des pages web par ailleurs fiables. Dans la variante réfléchie, la charge utile est intégrée dans une URL malveillante et immédiatement « réfléchie » vers l'utilisateur dans la réponse HTTP du serveur. Le navigateur de la victime exécute le script dans le contexte du site vulnérable, accordant au script le même niveau de confiance que le contenu légitime de la page.

Les conséquences courantes incluent :

• Détournement de session — vol de cookies pour usurper l'identité d'utilisateurs authentifiés.
• Vol d'identifiants — superposition de fausses invites de connexion.
• Distribution de logiciels malveillants — redirection des utilisateurs vers des pages contrôlées par l'attaquant.
• Défiguration / manipulation de l'interface utilisateur — altération du contenu visuel de la page.

Analyse technique

Le point de terminaison AssignPolicyTemplate de la console de gestion eScan accepte plusieurs paramètres GET et les affiche dans une page HTML sans assainir les caractères spéciaux tels que ", < et >. Cela signifie qu'une valeur comme :

sort du contexte d'attribut HTML environnant et injecte une balise <script> entièrement exécutable dans le DOM.

Paramètres vulnérables

Preuve de concept (PoC)

⚠️ Uniquement à des fins éducatives et de tests autorisés.

Étapes de reproduction

1. Authentifiez-vous — Connectez-vous à la console de gestion eScan avec des identifiants valides.

2. Construisez l'URL malveillante — L'URL suivante exploite le paramètre type pour injecter une balise <script> qui exfiltre le cookie de session de la victime :

   root@kitploit:~

   https://<target-host>/ewconsole/ewconsole.dll/AssignPolicyTemplate?type=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&edit=0&txtPolicyType=&txtPolicyPath=!!!!%24%5CPolicies&Deletefileval=Roaming%20Users_Policy2&defaultpolicy=1
   

   Charge utile décodée de l'URL dans type :

   root@kitploit:~

   "><script>alert(document.cookie)</script>
   

3. Délivrez l'URL — Envoyez le lien malveillant à un administrateur authentifié (par exemple, par e-mail ou messagerie).

4. Observez l'exécution — En visitant l'URL, le navigateur exécute le script injecté. Une boîte de dialogue d'alerte affiche le cookie de session actuel, confirmant l'exécution de JavaScript arbitraire.

Captures d'écran

Étape 1 — Navigation vers l'URL vulnérable :

Étape 2 — Popup d'alerte XSS avec le cookie de session :

Étape 3 — Cookie administrateur exposé, prêt pour le détournement de session :

Impact

Un attaquant qui exploite avec succès cette vulnérabilité peut :

• Voler les cookies de session administrateur et les utiliser pour prendre le contrôle de la console de gestion sans connaître les identifiants.
• Se déplacer vers les points de terminaison gérés — puisque la console gère les politiques antivirus dans une organisation, la prise de contrôle de la console peut permettre à un attaquant de désactiver les politiques de sécurité sur tous les appareils gérés.
• Mener des attaques de hameçonnage en injectant de faux éléments d'interface (invites de connexion, messages d'erreur) dans le domaine de confiance de la console.
• Exécuter des actions arbitraires dans la console au nom de la victime (créer des comptes, modifier des politiques, télécharger des rapports).

Remédiation

Microworld Technologies devrait appliquer les mesures d'atténuation suivantes :

1. Encodage de sortie — Utilisez un encodage de sortie sensible au contexte pour toutes les valeurs fournies par l'utilisateur avant de les afficher dans la page. Dans un contexte d'attribut HTML (c'est là que ces paramètres sont injectés), encodez au minimum <, >, ", ' et & en leurs équivalents d'entités HTML. Notez que la stratégie d'encodage diffère selon le contexte : le corps HTML, les attributs HTML, JavaScript et les contextes d'URL exigent chacun leurs propres règles d'encodage.
2. Validation des entrées — Rejetez ou supprimez les caractères qui n'ont aucun usage légitime dans les paramètres concernés.
3. Politique de sécurité du contenu (CSP) — Déployez un en-tête CSP strict (script-src 'self') pour empêcher l'exécution de scripts en ligne même si une charge utile XSS est injectée.
4. Tests de sécurité — Intégrez l'analyse XSS automatisée (par exemple, OWASP ZAP, Burp Suite) dans le pipeline CI/CD pour détecter les régressions rapidement.

Références

• NVD — CVE-2023-33732
• OWASP — Cross-Site Scripting (XSS)
• OWASP — Aide-mémoire de prévention des XSS
• CWE-79 : Neutralisation incorrecte de l'entrée lors de la génération de la page web

Avertissement

Ce dépôt est publié uniquement à des fins éducatives et de divulgation responsable. Les informations de preuve de concept fournies ici ne doivent pas être utilisées pour attaquer des systèmes sans l'autorisation écrite explicite du propriétaire du système. L'auteur décline toute responsabilité en cas d'utilisation abusive des informations contenues dans ce document.