sahiloj/cve-2023-31703Microworld Technologies eScan Management Console（バージョン14.0.1400.2281）のEdit User機能に、Reflected Cross-Site Scripting（XSS）の脆弱性が存在します。
CVE ID: CVE-2023-31703
脆弱性タイプ: 反射型クロスサイトスクリプティング (XSS)
影響を受ける製品: Microworld Technologies eScan Management Console
影響を受けるバージョン: 14.0.1400.2281
重要度: 中
発見者: Sahil Ojha
開示日: 2023年5月16日
Microworld Technologies eScan Management Console（バージョン 14.0.1400.2281）のユーザー編集機能に、反射型クロスサイトスクリプティング (XSS) の脆弱性が存在します。アプリケーションは、URLの from パラメータを介して渡されたユーザー入力を適切にサニタイズまたはエンコードしないまま、HTTPレスポンスにそのまま反映します。
認証されていない（または認証済みの）リモート攻撃者が、ログイン済み管理者に細工されたリンクをクリックさせることで、被害者のブラウザセッションのコンテキストにおいて任意のJavaScriptを注入・実行できます。これにより、セッションCookieの窃取、アカウント乗っ取り、認証情報の収集、その他のクライアントサイド攻撃が可能となります。
| フィールド | 詳細 |
|---|
| ベンダー | Microworld Technologies |
| 製品 | eScan Management Console |
| バージョン | 14.0.1400.2281 |
| コンポーネント | editUserName エンドポイント — from URLパラメータ |
| ベンダーサイト | https://www.escanav.com |
| ソフトウェアリンク | https://cl.escanav.com/ewconsole.dll |
| プラットフォーム | Windows |
/ewconsole/ewconsole.dll/editUserName エンドポイントが受け付ける from パラメータは、HTMLエンコードや出力サニタイズが行われずに、HTMLレスポンス本文に直接反映されます。これにより、攻撃者はHTML属性のコンテキストを抜け出し、<script> タグやその他のイベントハンドラペイロードを注入し、ブラウザで即座に実行させることができます。
GET /ewconsole/ewconsole.dll/editUserName?usrid=<ID>&from=<PAYLOAD>&P=
有効な認証情報でeScan Management Consoleにログインします。
以下のベースURLにアクセスし、from パラメータが反映されることを確認します：
https://cl.escanav.com/ewconsole/ewconsole.dll/editUserName?usrid=4&from=banner&P=
from の値を以下のXSSペイロードに置き換え、細工したURLを被害者の認証済みブラウザで開きます：
https://cl.escanav.com/ewconsole/ewconsole.dll/editUserName?usrid=4&from="><script>alert(document.cookie)</script>banner&P=
ブラウザが注入されたスクリプトを実行し、セッションCookieを含むアラートボックスが表示され、脆弱性が確認されます。
| 影響カテゴリ | 説明 |
|---|---|
| セッションハイジャック | 攻撃者は認証ユーザーのセッションCookieを盗み、アカウントを乗っ取ることができます。 |
| アカウント乗っ取り | 管理者レベルのセッションCookieがあれば、コンソールの完全な管理制御を取得できます。 |
| フィッシング | 注入されたスクリプトにより、ユーザーを攻撃者がホストするフィッシングページにリダイレクトできます。 |
| 改ざん | 攻撃者は対象ユーザーに対してページの表示コンテンツを操作できます。 |
| マルウェア配布 | 悪意のあるスクリプトを使用して、ブラウザ上のさらなるペイロードをサイレントにダウンロードまたは実行できます。 |
Microworld Technologies は以下の緩和策を適用すべきです：
<, >, ", ', & をエンコードしてください。これだけで注入されたマークアップがブラウザに解釈されるのを防げます。from パラメータは英数字のみ）に制限します。特定の文字をブラックリストで除外する方法は簡単にバイパスされるため、推奨しません。Content-Security-Policy: default-src 'self'）を展開し、残存するXSSベクターの影響を制限します。HttpOnly フラグを設定し、XSSペイロードが実行された場合でもJavaScriptからアクセスできないようにします。この情報は教育目的および責任ある開示のために提供されています。著者はこの情報の誤用について一切の責任を負いません。所有していないシステムをテストする前に、必ず適切な許可を得てください。