CVE-2023-33732 — Reflected Cross-Site Scripting nella console di gestione eScan

Panoramica

CVE-2023-33732 è una vulnerabilità Reflected Cross-Site Scripting (XSS) scoperta nella console di gestione eScan di Microworld Technologies, versione 14.0.1400.2281. Il difetto è presente nel modulo di assegnazione New Policy (endpoint AssignPolicyTemplate) e consente a un attaccante remoto e non autenticato di iniettare ed eseguire JavaScript arbitrario nel browser di qualsiasi utente autenticato che venga indotto a fare clic su un URL appositamente costruito.

Poiché l'applicazione riflette l'input fornito dall'utente direttamente nella risposta HTML senza un'adeguata sanificazione o codifica dell'output, un attaccante può rubare i cookie di sessione, eseguire azioni per conto della vittima o reindirizzare l'utente verso contenuti dannosi — il tutto senza richiedere privilegi speciali sul server.

Dettagli della vulnerabilità

Cos'è il Reflected XSS?

Il Cross-Site Scripting (XSS) è una classe di attacchi injection in cui script dannosi vengono iniettati in pagine web altrimenti affidabili. Nella variante riflessa, il payload è incorporato in un URL appositamente costruito e viene immediatamente "riflesso" all'utente nella risposta HTTP del server. Il browser della vittima esegue lo script nel contesto del sito vulnerabile, concedendo allo script lo stesso livello di fiducia dei contenuti di pagina legittimi.

Le conseguenze comuni includono:

• Dirottamento della sessione — rubare i cookie per impersonare utenti autenticati.
• Furto di credenziali — sovrapporre falsi prompt di login.
• Distribuzione di malware — reindirizzare gli utenti verso pagine controllate dall'attaccante.
• Defacement / manipolazione dell'interfaccia — alterare il contenuto visivo della pagina.

Analisi tecnica

L'endpoint AssignPolicyTemplate nella console di gestione di eScan accetta diversi parametri GET e li renderizza all'interno di una pagina HTML senza sanificare i caratteri speciali come ", < e >. Ciò significa che un valore come:

"><script>alert(document.cookie)</script>

esce dal contesto dell'attributo HTML circostante e inietta un tag <script> pienamente eseguibile nel DOM.

Parametri vulnerabili

Prova di concetto (PoC)

⚠️ Solo per scopi educativi e test autorizzati.

Passaggi per la riproduzione

1. Autenticarsi — Accedere alla console di gestione eScan con credenziali valide.

2. Costruire l'URL dannoso — Il seguente URL sfrutta il parametro type per iniettare un tag <script> che esfiltra il cookie di sessione della vittima:

   root@kitploit:~

   https://<target-host>/ewconsole/ewconsole.dll/AssignPolicyTemplate?type=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&edit=0&txtPolicyType=&txtPolicyPath=!!!!%24%5CPolicies&Deletefileval=Roaming%20Users_Policy2&defaultpolicy=1
   

   Payload decodificato dall'URL nel parametro type:

   root@kitploit:~

   "><script>alert(document.cookie)</script>
   

3. Consegnare l'URL — Inviare il link appositamente costruito a un amministratore autenticato (ad es., via email o chat).

4. Osservare l'esecuzione — Una volta visitato l'URL, il browser esegue lo script iniettato. Un popup di avviso mostra il cookie di sessione corrente, confermando l'esecuzione di JavaScript arbitrario.

Screenshot

Passaggio 1 — Navigazione verso l'URL vulnerabile:

Passaggio 2 — Popup di avviso XSS con cookie di sessione:

Passaggio 3 — Cookie amministratore esposto, pronto per il dirottamento della sessione:

Impatto

Un attaccante che sfrutta con successo questa vulnerabilità può:

• Rubare i cookie di sessione dell'amministratore e usarli per assumere il controllo della console di gestione senza conoscere le credenziali.
• Spostarsi sugli endpoint gestiti — poiché la console gestisce le policy antivirus in tutta un'organizzazione, l'acquisizione della console potrebbe consentire a un attaccante di disattivare le policy di sicurezza su tutti i dispositivi gestiti.
• Condurre attacchi di phishing iniettando elementi UI falsi (prompt di login, messaggi di errore) nel dominio di fiducia della console.
• Eseguire azioni arbitrarie all'interno della console per conto della vittima (creare account, modificare policy, scaricare report).

Mitigazione

Microworld Technologies dovrebbe applicare le seguenti mitigazioni:

1. Codifica dell'output — Utilizzare una codifica dell'output sensibile al contesto per tutti i valori forniti dall'utente prima di renderizzarli nella pagina. In un contesto di attributo HTML (che è il punto in cui vengono iniettati questi parametri), codificare come minimo <, >, ", ' e & nei rispettivi equivalenti di entità HTML. Si noti che la strategia di codifica varia in base al contesto: corpo HTML, attributi HTML, JavaScript e contesti URL richiedono ciascuno le proprie regole di codifica.
2. Validazione dell'input — Rifiutare o rimuovere i caratteri che non hanno un uso legittimo nei parametri interessati.
3. Content Security Policy (CSP) — Implementare un header CSP rigoroso (script-src 'self') per impedire l'esecuzione di script inline anche se un payload XSS viene iniettato.
4. Test di sicurezza — Integrare la scansione XSS automatizzata (ad es., OWASP ZAP, Burp Suite) nella pipeline CI/CD per individuare precocemente le regressioni.

Riferimenti

• NVD — CVE-2023-33732
• OWASP — Cross-Site Scripting (XSS)
• OWASP — XSS Prevention Cheat Sheet
• CWE-79: Improper Neutralization of Input During Web Page Generation

Disclaimer

Questo repository è pubblicato solo per scopi educativi e di divulgazione responsabile. Le informazioni di proof-of-concept qui fornite non devono essere utilizzate per attaccare sistemi senza l'esplicito permesso scritto del proprietario del sistema. L'autore non si assume alcuna responsabilità per qualsiasi uso improprio delle informazioni contenute in questo documento.