Cette vulnérabilité a été découverte et divulguée de manière responsable par Sahil Ojha le 23 juin 2023, et s'est vu attribuer l'identifiant CVE-2023-34835.

Détails de la vulnérabilité

Produit concerné

La Console de gestion eScan est une plateforme de gestion de sécurité d'entreprise développée par Microworld Technologies. Elle est utilisée par les organisations pour gérer de manière centralisée les politiques de sécurité des postes, les déploiements antivirus, les rapports et les alertes sur l'ensemble de leur réseau interne. Étant donné que la console réside généralement sur un réseau interne (d'entreprise) et nécessite une authentification pour y accéder, cette vulnérabilité est exploitable par des initiés authentifiés ou par des attaquants ayant déjà obtenu un point d'appui sur le réseau.

Composant vulnérable : le point de terminaison de suppression de modèle de rapport ne nettoie ni n'encode le paramètre delete_file avant de le refléter dans la réponse HTTP, ce qui permet l'exécution de charges utiles JavaScript dans le contexte de la session du navigateur de la victime.

Analyse technique

La fonctionnalité Modèle de rapport de la Console de gestion eScan expose un point de terminaison POST pour supprimer les fichiers de modèles de rapport. Le gestionnaire côté serveur reflète la valeur du paramètre delete_file directement dans la réponse HTML sans encodage de sortie ni validation d'entrée appropriés. Lorsqu'une requête contrefaite contenant une charge utile JavaScript est envoyée, le navigateur interprète et exécute le script injecté.

Résumé du vecteur d'attaque :

1. Un attaquant (ou un initié malveillant) intercepte ou contrefait une requête POST vers le point de terminaison de suppression de modèle de rapport.
2. Le paramètre delete_file est remplacé par une charge utile XSS telle que ">.
3. Le serveur reflète la valeur non nettoyée dans la page de réponse.
4. Le navigateur de la victime rend la réponse et exécute le script injecté.

Étant donné que les cookies de session sont accessibles via document.cookie (et ne sont pas protégés par l'indicateur HttpOnly dans la version concernée), ce XSS peut être combiné à une attaque de détournement de session pour effectuer une prise de contrôle totale du compte.

Preuve de concept (étapes de reproduction)

Prérequis : des identifiants valides pour une instance de la Console de gestion eScan (accès au réseau interne requis).
Outils nécessaires : un navigateur web et un proxy d'interception HTTP (par exemple, Burp Suite).

Étape 1 — Se connecter à la Console de gestion eScan

Authentifiez-vous à la Console de gestion eScan à l'aide d'identifiants utilisateur valides. La console n'est généralement accessible que depuis le réseau interne de l'organisation.

Étape 2 — Accéder aux modèles de rapport et initier une suppression

1. Dans le menu de navigation de gauche, localisez la section Modèle de rapport.
2. Sélectionnez un modèle de rapport existant dans la liste.
3. Cliquez sur le bouton Supprimer pour déclencher une action de suppression.

Étape 3 — Intercepter la requête DELETE dans Burp Suite

À l'aide de Burp Suite (ou d'un autre proxy HTTP), interceptez la requête POST sortante générée lorsque le bouton de suppression est cliqué. La requête contiendra un paramètre delete_file dont la valeur est le nom du fichier de modèle de rapport.

Remplacez la valeur de delete_file par une charge utile XSS, par exemple :

Étape 4 — Transmettre la requête et observer l'exécution du code

Transmettez la requête modifiée. Le serveur reflète la charge utile injectée dans la réponse sans nettoyage. Le navigateur exécute le JavaScript et une boîte de dialogue d'alerte affiche le cookie de session de la victime.

Le cookie de session exposé ici peut être exfiltré vers un serveur contrôlé par l'attaquant et utilisé pour détourner la session authentifiée (prise de contrôle du compte).

Impact

Bien que l'exploitation nécessite une session authentifiée sur un réseau interne, l'impact est significatif étant donné que les administrateurs de la Console de gestion eScan disposent généralement d'un large accès aux configurations de sécurité des postes.

Atténuation et remédiation

Les actions suivantes sont recommandées pour remédier à cette vulnérabilité :

1. Appliquer les correctifs de l'éditeur : contactez le support de Microworld Technologies (https://www.escanav.com) ou consultez le portail de téléchargement officiel pour obtenir les versions mises à jour de la Console de gestion eScan qui corrigent cette vulnérabilité.
2. Validation des entrées : assurez-vous que toutes les entrées fournies par l'utilisateur (y compris les paramètres POST tels que delete_file) sont validées par rapport à une liste blanche stricte avant traitement.
3. Encodage des sorties : toutes les données reflétées dans les réponses HTML doivent être correctement encodées en HTML (par exemple, < → <, > → >) pour empêcher l'injection de scripts.
4. Définir l'indicateur de cookie HttpOnly : marquez les cookies de session avec l'attribut HttpOnly pour empêcher les scripts côté client d'y accéder, réduisant ainsi l'impact de toute vulnérabilité XSS.
5. Politique de sécurité du contenu (CSP) : implémentez un en-tête CSP strict pour limiter les sources à partir desquelles les scripts peuvent être chargés et exécutés.
6. Contrôles d'accès réseau : restreignez l'accès à la Console de gestion eScan aux plages d'adresses IP de confiance et exigez un VPN pour l'accès à distance.

Références

• NVD – CVE-2023-34835
• Entrée CVE MITRE – CVE-2023-34835
• CWE-79 : neutralisation incorrecte de l'entrée lors de la génération de la page Web (Cross-site Scripting)
• OWASP – Cross Site Scripting (XSS)
• Microworld Technologies – eScan Antivirus

Avertissement

Ce dépôt et les informations qu'il contient sont fournis strictement à des fins éducatives et de recherche en sécurité autorisée. Les détails de la preuve de concept sont destinés à aider les défenseurs à comprendre la vulnérabilité afin qu'elle puisse être correctement corrigée.

N'utilisez pas ces informations pour attaquer ou compromettre des systèmes que vous ne possédez pas ou pour lesquels vous ne disposez pas d'une autorisation écrite explicite de test. Toute utilisation non autorisée de ces informations peut violer les lois et règlements applicables. L'auteur décline toute responsabilité en cas d'utilisation abusive de ce matériel.