Software Interessato

Descrizione della Vulnerabilità

La eScan Management Console fornisce un'interfaccia web per la gestione della sicurezza degli endpoint nella rete di un'organizzazione. La funzionalità "View User Profile" espone un endpoint di tipo REST:

Il parametro UsrId viene incorporato in una query SQL backend senza validazione, escaping o utilizzo di query parametrizzate. Ciò consente a un attaccante autenticato di iniettare istruzioni SQL arbitrarie nella query, con i seguenti risultati:

• Iniezione SQL Cieca Basata sul Tempo — utilizzo di WAITFOR DELAY per confermare la sfruttabilità.
• Esecuzione di Query Impilate — consente payload di iniezione multi-istruzione.
• Dump Completo del Database — estrazione di tutte le tabelle, gli utenti, le credenziali e i dati sensibili dal backend SQL Server.
• Esecuzione di Comandi del Sistema Operativo — sfruttamento della stored procedure xp_cmdshell di SQL Server (abilitata tramite sp_configure) per eseguire comandi arbitrari del sistema operativo sul server con i privilegi dell'account di servizio di SQL Server.

Impatto

Lo sfruttamento riuscito di questa vulnerabilità consente a un attaccante di:

• 🔴 Eseguire il dump dell'intero database SQL Server, incluse credenziali utente, dati di configurazione e informazioni aziendali sensibili.
• 🔴 Ottenere una shell interattiva del sistema operativo sul server Windows che ospita l'istanza di SQL Server.
• 🔴 Eseguire comandi arbitrari del sistema operativo (ad es., creare account backdoor, esfiltrare dati, effettuare pivot verso risorse di rete interne).
• 🔴 Compromettere completamente il server di gestione eScan e potenzialmente tutti gli endpoint che gestisce.

⚠️ Nota: L'attaccante deve prima ottenere credenziali valide per la eScan Management Console. Tuttavia, una volta autenticato, lo sfruttamento è semplice e non richiede privilegi elevati sulla console.

Prova di Concetto

Passo 1 — Accedere all'Endpoint Vulnerabile

Dopo aver effettuato l'autenticazione alla eScan Management Console, accedere al seguente URL:

Questo restituisce i dati del profilo utente corrente, confermando che l'endpoint è accessibile.

Passo 2 — Confermare l'Iniezione SQL con Payload Basato sul Tempo

Iniettare il seguente payload di ritardo temporale nel parametro UsrId:

Analisi del payload:

• ; — termina l'istruzione SQL originale e ne inizia una nuova (query impilata).
• WAITFOR DELAY '0:0:5' — istruisce SQL Server a mettere in pausa per 5 secondi prima di rispondere.
• -- — commenta il resto della query originale per prevenire errori di sintassi.

Se la risposta del server subisce un ritardo di ~5 secondi, l'iniezione è confermata.

Passo 3 — Eseguire il Dump dei Database con SQLMap

Una volta confermata l'iniezione SQL cieca, l'intero database può essere estratto utilizzando SQLMap:

Questo comando enumera tutti i database ospitati sul backend SQL Server.

Passo 4 — Ottenere una Shell del Sistema Operativo tramite SQLMap

SQLMap può inoltre elevare l'attacco all'esecuzione di comandi a livello di sistema operativo abilitando e sfruttando xp_cmdshell:

Questo stabilisce una shell interattiva del sistema operativo sull'host di SQL Server.

Passo 5 — Eseguire Comandi del Sistema Operativo sul Server

Con la shell del sistema operativo stabilita, è possibile eseguire comandi Windows arbitrari sul server:

Rimedio

Si raccomandano vivamente le seguenti misure per rimediare e mitigare questa vulnerabilità:

1. Utilizzare Query Parametrizzate / Prepared Statements — Non concatenare mai l'input fornito dall'utente direttamente nelle query SQL. Utilizzare parametri associati per separare i dati dalla logica della query.

2. Validazione e Sanitizzazione dell'Input — Validare rigorosamente tutti i parametri forniti dall'utente lato server. Per identificatori numerici come UsrId, imporre un input composto da soli numeri interi e rifiutare qualsiasi valore contenente caratteri speciali.

3. Applicare la Patch del Fornitore — Aggiornare la eScan Management Console all'ultima versione disponibile. Contattare il supporto di MicroWorld Technologies o fare riferimento ai loro security advisory per la release patchata più recente.

4. Privilegio Minimo per gli Account del Database — L'account del database dell'applicazione dovrebbe avere solo i permessi minimi richiesti. Non dovrebbe avere i ruoli sysadmin o db_owner e xp_cmdshell dovrebbe essere disabilitata.

5. Disabilitare xp_cmdshell — A meno che non sia esplicitamente richiesta, disabilitare la stored procedure estesa xp_cmdshell sull'istanza di SQL Server:

   root@kitploit:~

   EXEC sp_configure 'xp_cmdshell', 0;
   RECONFIGURE;
   

6. Web Application Firewall (WAF) — Distribuire un WAF per rilevare e bloccare i pattern comuni di iniezione SQL come misura di difesa in profondità.

7. Segmentazione della Rete — Limitare l'accesso alla eScan Management Console a intervalli di IP fidati e assicurarsi che SQL Server non sia esposto direttamente a internet.

Cronologia della Divulgazione

Riferimenti

• NVD — CVE-2023-31702 (verificare su NVD lo stato di pubblicazione corrente)
• MITRE — CVE-2023-31702 (verificare su MITRE lo stato di pubblicazione corrente)
• MicroWorld Technologies eScan
• SQLMap — Strumento Automatico per l'Iniezione SQL
• OWASP — Iniezione SQL
• CWE-89 — Neutralizzazione Impropria di Elementi Speciali utilizzati in un Comando SQL

Autore

Sahil Ojha — Ricercatore di Sicurezza

Questa divulgazione è intesa esclusivamente a scopo educativo e di ricerca sulla sicurezza. Lo sfruttamento di questa vulnerabilità contro sistemi senza un'autorizzazione scritta esplicita è illegale e non etico.