影響を受けるソフトウェア

脆弱性の説明

eScan Management Console は、組織のネットワーク全体でエンドポイントセキュリティを管理するための Web ベースのインターフェースを提供します。「View User Profile」 機能は、REST に似たエンドポイントを公開します：

UsrId パラメータは、検証、エスケープ、またはパラメータ化クエリの使用なしにバックエンドの SQL クエリに組み込まれます。これにより、認証済みの攻撃者がクエリに任意の SQL 文を注入できるようになり、以下が発生します：

• 時間ベースのプラインド SQL インジェクション — WAITFOR DELAY を使用して悪用可能性を確認します。
• スタックドクエリの実行 — 複数ステートメントのインジェクションペイロードを可能にします。
• データベース全体のダンプ — SQL Server バックエンドからすべてのテーブル、ユーザー、資格情報、機密データを抽出します。
• OS コマンドの実行 — SQL Server の xp_cmdshell ストアドプロシージャ（sp_configure で有効化）を利用して、SQL Server サービスアカウントの権限でサーバー上で任意の OS コマンドを実行します。

影響

この脆弱性の悪用に成功すると、攻撃者は以下を行うことが可能になります：

• 🔴 SQL Server データベース全体のダンプ — ユーザー資格情報、構成データ、機密の企業情報を含みます。
• 🔴 SQL Server インスタンスをホストする Windows サーバー上での対話型 OS シェルの取得
• 🔴 任意の OS コマンドの実行（例：バックドアアカウントの作成、データの外部送信、内部ネットワークリソースへのピボット）
• 🔴 eScan 管理サーバーの完全な侵害、および管理対象のすべてのエンドポイントへの侵害の可能性

⚠️ 注記： 攻撃者はまず eScan Management Console への有効な資格情報を取得する必要があります。ただし、認証後は悪用は簡単で、昇格されたコンソール権限は必要ありません。

概念実証（PoC）

ステップ 1 — 脆弱なエンドポイントにアクセス

eScan Management Console に認証した後、次の URL に移動します：

これにより現在のユーザープロファイルデータが返され、エンドポイントがアクセス可能であることが確認されます。

ステップ 2 — 時間ベースのペイロードで SQL インジェクションを確認

以下の時間遅延ペイロードを UsrId パラメータに注入します：

ペイロードの内訳：

• ; — 元の SQL 文を終了し、新しい文を開始します（スタックドクエリ）。
• WAITFOR DELAY '0:0:5' — SQL Server に応答前に 5 秒間の一時停止を指示します。
• -- — 構文エラーを防ぐために、元のクエリの残りをコメントアウトします。

サーバーの応答が約 5 秒遅延した場合、インジェクションが確認されます。

ステップ 3 — SQLMap を使用してデータベースをダンプ

プラインド SQL インジェクションが確認されたら、SQLMap を使用してデータベース全体を抽出できます：

これにより、バックエンドの SQL Server でホストされているすべてのデータベースが列挙されます。

ステップ 4 — SQLMap を介して OS シェルを取得

SQLMap は、xp_cmdshell を有効化して利用することで、攻撃を OS レベルのコマンド実行に昇格させることもできます：

これにより、SQL Server ホスト上に対話型 OS シェルが確立されます。

ステップ 5 — サーバー上で OS コマンドを実行

OS シェルが確立されると、サーバー上で任意の Windows コマンドを実行できます：

修正策

この脆弱性を修正および緩和するために、以下の対策を強く推奨します：

1. パラメータ化クエリ / プリペアドステートメントを使用する — ユーザー提供の入力を SQL クエリに直接連結しないでください。バインドパラメータを使用して、データをクエリロジックから分離してください。

2. 入力検証とサニタイズ — すべてのユーザー提供パラメータをサーバー側で厳密に検証してください。UsrId のような数値識別子については、整数のみの入力を強制し、特殊文字を含む値はすべて拒否してください。

3. ベンダーパッチを適用する — eScan Management Console を利用可能な最新バージョンに更新してください。最新のパッチ済みリリースについては、MicroWorld Technologies のサポートに連絡するか、セキュリティアドバイザリ を参照してください。

4. データベースアカウントの最小権限 — アプリケーションのデータベースアカウントには、必要な最小限の権限のみを付与してください。sysadmin や db_owner ロールを保持すべきではなく、xp_cmdshell は無効にすべきです。

5. xp_cmdshell を無効化する — 明示的に必要な場合を除き、SQL Server インスタンスで拡張ストアドプロシージャ xp_cmdshell を無効にしてください：

   root@kitploit:~

   EXEC sp_configure 'xp_cmdshell', 0;
   RECONFIGURE;
   

6. Web アプリケーションファイアウォール（WAF） — 多層防御策として、一般的な SQL インジェクションパターンを検出およびブロックする WAF を導入してください。

7. ネットワークセグメンテーション — eScan Management Console へのアクセスを信頼できる IP 範囲に制限し、SQL Server がインターネットに直接公開されないようにしてください。

開示のタイムライン

参照

• NVD — CVE-2023-31702 （現在の公開状況については NVD を確認してください）
• MITRE — CVE-2023-31702 （現在の公開状況については MITRE を確認してください）
• MicroWorld Technologies eScan
• SQLMap — SQL インジェクション自動化ツール
• OWASP — SQL インジェクション
• CWE-89 — SQL コマンドで使用される特殊要素の不適切な無害化

作者

Sahil Ojha — セキュリティ研究者

この開示は教育およびセキュリティ研究の目的のみを意図しています。明示的な書面による許可なしにシステムに対してこの脆弱性を悪用することは違法かつ非倫理的です。