CVE-2023-34835 — Console di Gestione eScan: Cross-Site Scripting Riflesso (XSS)

Indice

• Panoramica
• Dettagli della Vulnerabilità
• Prodotto Affetto
• Analisi Tecnica
• Prova di Concetto (Passi per Riprodurre)
• Impatto
• Mitigazione e Rimedio
• Riferimenti
• Disclaimer

Panoramica

Una vulnerabilità di Cross-Site Scripting Riflesso (XSS) è stata scoperta nella Console di Gestione eScan di Microworld Technologies, versione 14.0.1400.2281. Un attaccante remoto autenticato può iniettare ed eseguire codice JavaScript arbitrario nel browser della vittima manipolando il parametro POST delete_file all'interno della funzionalità di eliminazione del Modello di Report.

Questa vulnerabilità è stata scoperta e divulgata in modo responsabile da Sahil Ojha il 23 giugno 2023, ed è stata assegnata l'identificativo CVE-2023-34835.

Dettagli della Vulnerabilità

Prodotto Affetto

Console di Gestione eScan è una piattaforma di gestione della sicurezza aziendale sviluppata da Microworld Technologies. Viene utilizzata dalle organizzazioni per gestire centralmente le policy di sicurezza degli endpoint, le distribuzioni antivirus, i report e gli avvisi all'interno della loro rete interna. Poiché la console risiede tipicamente su una rete interna (aziendale) e richiede l'autenticazione per l'accesso, questa vulnerabilità è sfruttabile da insider autenticati o da attaccanti che hanno ottenuto un punto d'appoggio sulla rete.

Componente vulnerabile: L'endpoint di eliminazione del Modello di Report non sanitizza né codifica il parametro delete_file prima di rifletterlo nella risposta HTTP, consentendo l'esecuzione di payload JavaScript nel contesto della sessione del browser della vittima.

Analisi Tecnica

La funzionalità Modello di Report della Console di Gestione eScan espone un endpoint POST per eliminare i file dei modelli di report. Il gestore lato server riflette il valore del parametro delete_file direttamente nella risposta HTML senza una corretta codifica dell'output o validazione dell'input. Quando viene inviata una richiesta manipolata contenente un payload JavaScript, il browser interpreta ed esegue lo script iniettato.

Riepilogo del vettore d'attacco:

1. Un attaccante (o un insider malintenzionato) intercetta o crea una richiesta POST all'endpoint di eliminazione del modello di report.
2. Il parametro delete_file viene sostituito con un payload XSS come ">.
3. Il server riflette il valore non sanitizzato nella pagina di risposta.
4. Il browser della vittima rende la risposta ed esegue lo script iniettato.

Poiché i cookie di sessione sono accessibili tramite document.cookie (e non sono protetti dal flag HttpOnly nella versione affetta), questo XSS può essere concatenato con un attacco di hijacking della sessione per effettuare un furto totale dell'account.

Prova di Concetto (Passi per Riprodurre)

Prerequisiti: Credenziali valide per un'istanza della Console di Gestione eScan (è richiesto l'accesso alla rete interna).
Strumenti necessari: Un browser web e un proxy di intercettazione HTTP (es. Burp Suite).

Passo 1 — Accedere alla Console di Gestione eScan

Autenticarsi alla Console di Gestione eScan utilizzando credenziali utente valide. La console è tipicamente accessibile solo dall'interno della rete interna dell'organizzazione.

Passo 2 — Navigare ai Modelli di Report e avviare un'eliminazione

1. Nel menu di navigazione a sinistra, individuare la sezione Modello di Report.
2. Selezionare un modello di report esistente dall'elenco.
3. Fare clic sul pulsante Elimina per attivare l'azione di eliminazione.

Passo 3 — Intercettare la richiesta DELETE in Burp Suite

Utilizzando Burp Suite (o un altro proxy HTTP), intercettare la richiesta POST in uscita generata quando viene cliccato il pulsante Elimina. La richiesta conterrà un parametro delete_file il cui valore è il nome del file del modello di report.

Sostituire il valore di delete_file con un payload XSS, ad esempio:

delete_file=">

Passo 4 — Inoltrare la richiesta e osservare l'esecuzione del codice

Inoltrare la richiesta modificata. Il server riflette il payload iniettato nella risposta senza sanitizzazione. Il browser esegue il JavaScript e un dialog alert mostra il cookie di sessione della vittima.

Il cookie di sessione esposto può essere esfiltrato verso un server controllato dall'attaccante e utilizzato per dirottare la sessione autenticata (furto dell'account).

Impatto

Sebbene lo sfruttamento richieda una sessione autenticata su una rete interna, l'impatto è significativo dato che gli amministratori della Console di Gestione eScan hanno tipicamente ampio accesso alle configurazioni di sicurezza degli endpoint.

Mitigazione e Rimedio

Le seguenti azioni sono raccomandate per affrontare questa vulnerabilità:

1. Applicare le patch del vendor: Contattare il supporto di Microworld Technologies (https://www.escanav.com) o verificare il portale di download ufficiale per versioni aggiornate della Console di Gestione eScan che risolvano questa vulnerabilità.
2. Validazione dell'input: Assicurarsi che tutti gli input forniti dall'utente (inclusi parametri POST come delete_file) siano validati rispetto a una allowlist rigorosa prima dell'elaborazione.
3. Codifica dell'output: Tutti i dati riflessi nelle risposte HTML devono essere correttamente codificati in HTML (es. < → <, > → >) per prevenire l'iniezione di script.
4. Impostare il flag HttpOnly del cookie: Contrassegnare i cookie di sessione con l'attributo HttpOnly per impedire agli script lato client di accedervi, riducendo l'impatto di qualsiasi vulnerabilità XSS.
5. Content Security Policy (CSP): Implementare un'intestazione CSP rigorosa per limitare le fonti da cui gli script possono essere caricati ed eseguiti.
6. Controlli di accesso di rete: Limitare l'accesso alla Console di Gestione eScan a intervalli IP fidati e richiedere VPN per l'accesso remoto.

Riferimenti

• NVD – CVE-2023-34835
• MITRE CVE Entry – CVE-2023-34835
• CWE-79: Neutralizzazione Impropria dell'Input durante la Generazione di Pagine Web (Cross-site Scripting)
• OWASP – Cross Site Scripting (XSS)
• Microworld Technologies – eScan Antivirus

Disclaimer

Questo repository e le informazioni in esso contenute sono fornite esclusivamente a scopo educativo e di ricerca sulla sicurezza autorizzata. I dettagli della prova di concetto sono intesi ad aiutare i difensori a comprendere la vulnerabilità in modo che possa essere adeguatamente risolta.

Non utilizzare queste informazioni per attaccare o compromettere sistemi che non possiedi o per i quali non hai esplicita autorizzazione scritta per testarli. L'uso non autorizzato di queste informazioni potrebbe violare leggi e regolamenti applicabili. L'autore non si assume alcuna responsabilità per eventuali usi impropri di questo materiale.