CVE-2023-33730 — Escalata dei Privilegi della Console di Gestione eScan

Criticità: Critica
ID CVE: CVE-2023-33730
Divulgato: 30 Maggio 2023
Autore: Sahil Ojha

Indice

• Panoramica
• Dettagli della Vulnerabilità
• Impatto
• Analisi Tecnica
• Prova di Concetto
• Rimedi
• Riferimenti
• Dichiarazione di Esclusione di Responsabilità

Panoramica

eScan Management Console è una soluzione centralizzata di gestione della sicurezza sviluppata da Microworld Technologies. Permette agli amministratori IT aziendali di distribuire, gestire e monitorare gli agenti di protezione antivirus/endpoint di eScan su un'intera rete da un'unica console web.

La versione 14.0.1400.2281 di questa console contiene una vulnerabilità critica di Escalata dei Privilegi. A causa di un controllo di autorizzazione mancante nell'endpoint API GetUserCurrentPwd, qualsiasi utente autenticato — indipendentemente dal proprio livello di privilegio — può recuperare le password in chiaro di tutti gli account registrati nella console, inclusi gli account amministratore. Ciò consente immediatamente la piena acquisizione della console di gestione e, di conseguenza, di tutti gli endpoint gestiti sulla rete.

Dettagli della Vulnerabilità

Impatto

Questa vulnerabilità ha un impatto critico nel mondo reale:

• Escalata Orizzontale dei Privilegi — Un utente normale (a bassi privilegi) può recuperare le password in chiaro di tutti gli altri utenti normali, consentendo il furto di account allo stesso livello di privilegio.
• Escalata Verticale dei Privilegi — Manipolando un singolo parametro URL (UsrId), lo stesso utente a bassi privilegi può recuperare la password in chiaro dell'account amministratore, concedendo il controllo amministrativo completo sulla Console di Gestione eScan.
• Esposizione Massiva di Credenziali — Tutte le password degli utenti sono memorizzate e restituite in chiaro, il che significa che una singola chiamata API può elencare le credenziali per ogni account nel sistema contemporaneamente.
• Compromissione Completa della Rete — Poiché la Console di Gestione eScan controlla gli agenti antivirus/endpoint su tutta la rete aziendale, l'accesso amministrativo alla console può permettere a un attaccante di disabilitare la protezione degli endpoint, distribuire software dannoso o effettuare pivot su altri sistemi della rete.

Analisi Tecnica

La vulnerabilità risiede nella funzione GetUserCurrentPwd esposta dall'interfaccia web della Console di Gestione eScan. Questo endpoint è destinato a consentire a un utente di recuperare la propria password per scopi di modifica del profilo. Tuttavia, l'implementazione presenta una falla di Autorizzazione a Livello Oggetto Rottura (BOLA / IDOR):

1. Nessun controllo di proprietà — L'endpoint accetta un parametro UsrId ma non verifica che l'utente richiedente possieda l'account corrispondente a tale ID.
2. Nessun controllo dei privilegi — Qualsiasi sessione autenticata, indipendentemente dal ruolo, è autorizzata a invocare questo endpoint per qualsiasi valore UsrId.
3. Memorizzazione/risposta della password in chiaro — Le password vengono restituite in chiaro nel corpo della risposta HTTP, bypassando qualsiasi crittografia o hashing che potrebbe altrimenti esistere.

Schema di richiesta vulnerabile:

GET /eScanWebConsole/webpages/...?action=GetUserCurrentPwd&UsrId=<TARGET_USER_ID> HTTP/1.1
Host: <escan-console-host>
Cookie: <valid-session-cookie>

Iterando sui valori sequenziali di UsrId, un attaccante può scaricare le credenziali di ogni utente del sistema in un unico passaggio automatizzato.

Prova di Concetto

Nota: I seguenti passaggi dimostrano la vulnerabilità in un ambiente di laboratorio controllato. Non tentare di riprodurre questo contro qualsiasi sistema di cui non si possiede o non si ha esplicita autorizzazione scritta per testare.

Passo 1 — Creare un utente a bassi privilegi

Accedi alla Console di Gestione eScan utilizzando credenziali di amministratore valide e crea un nuovo account utente con accesso di livello normale (basso privilegio).

Passo 2 — Accedere come utente a bassi privilegi

Esci dalla sessione di amministratore e accedi utilizzando le credenziali del nuovo utente normale creato.

Passo 3 — Catturare la richiesta GET di modifica del profilo

Mentre sei connesso come utente normale, naviga alla sezione Modifica Profilo / Cambia Password. Intercetta il traffico HTTP in uscita utilizzando Burp Suite (o un proxy HTTP equivalente). Identifica e cattura la richiesta GET GetUserCurrentPwd come mostrato di seguito.

Passo 4 — Inoltrare la richiesta e osservare la password in chiaro

Invia la richiesta catturata a Burp Suite Repeater e inoltra. Osserva che la risposta del server contiene la password in chiaro dell'utente normale attualmente autenticato — nessun privilegio di amministratore richiesto per recuperarla.

Passo 5 — Escalare all'amministratore modificando UsrId

In Burp Suite Repeater, modifica il parametro UsrId con l'ID dell'account amministratore (o qualsiasi altro account). Inoltra la richiesta modificata. Il server risponde con la password in chiaro dell'amministratore, così come le password di qualsiasi altro utente di cui viene fornito il UsrId.

Passo 6 — Acquisizione completa dell'account

Usa la password dell'amministratore recuperata per accedere alla console come amministratore, ottenendo privilegi amministrativi completi sulla Console di Gestione eScan e su tutti gli endpoint gestiti sulla rete.

Rimedi

Microworld Technologies dovrebbe applicare le seguenti mitigazioni:

1. Applicare l'autorizzazione a livello di oggetto — Prima di restituire qualsiasi password (o qualsiasi campo sensibile), il server deve verificare che l'UsrId nella richiesta corrisponda all'ID del proprietario della sessione. Le richieste per i dati di altri utenti devono essere respinte con HTTP 403 Forbidden.
2. Non restituire mai password in chiaro — Le password devono essere hashate prima della memorizzazione (ad esempio, utilizzando bcrypt, Argon2) e mai restituite al client in qualsiasi forma. Se è necessaria una conferma della "password corrente", richiedere all'utente di reinserire la password e convalidare il suo hash lato server.
3. Implementare un adeguato Controllo degli Accessi Basato sui Ruoli (RBAC) — Le funzioni API amministrative sensibili dovrebbero essere accessibili solo a sessioni con il livello di privilegio appropriato.
4. Applicare limitazione di frequenza e rilevamento di anomalie — Limitare la frequenza con cui l'endpoint GetUserCurrentPwd può essere chiamato per sessione e avvisare su pattern di accesso di tipo enumerazione.
5. Aggiornare all'ultima versione — Gli utenti dovrebbero aggiornare la Console di Gestione eScan all'ultima release disponibile che risolve questa vulnerabilità, come consigliato da Microworld Technologies.

Riferimenti

• NVD — CVE-2023-33730
• MITRE CVE — CVE-2023-33730
• Microworld Technologies eScan
• OWASP — Autorizzazione a Livello Oggetto Rottura (API1:2023)
• OWASP — Riferimento Diretto a Oggetti Non Sicuro (IDOR)

Dichiarazione di Esclusione di Responsabilità

Questo repository e i suoi contenuti sono forniti esclusivamente a scopo educativo e di ricerca. I dettagli della vulnerabilità e i passaggi della prova di concetto sono divulgati in conformità con i principi di divulgazione responsabile per aiutare i difensori a comprendere e correggere il problema.

Non utilizzare queste informazioni per attaccare, compromettere o ottenere accesso non autorizzato a qualsiasi sistema. I test non autorizzati contro sistemi di cui non si possiede o non si ha esplicita autorizzazione scritta sono illegali e non etici.

L'autore e i contributori non si assumono alcuna responsabilità per qualsiasi uso improprio delle informazioni contenute in questo repository.