概要

Microworld Technologiesが開発したeScan Management Console（バージョン14.0.1400.2281）において、**反射型クロスサイトスクリプティング（Reflected XSS）**の脆弱性が発見されました。この脆弱性はDashboard Details（DashBoardDetails）エンドポイントに存在し、複数のクエリ文字列パラメータが適切なサニタイズや出力エンコーディングなしにHTMLレスポンスに反映されます。認証されていないリモート攻撃者は、悪意のあるURLを作成し、認証済みの管理者にそれをクリックさせることで、被害者のブラウザセッション上で任意のJavaScriptを実行させることができます。

脆弱性の詳細

深刻度とCVSSスコア

CVSS 3.1 ベクトル: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

影響を受ける製品

• 製品: eScan Management Console（Webベースのエンドポイントセキュリティ管理プラットフォーム）
• ベンダー: Microworld Technologies
• バージョン: 14.0.1400.2281
• ソフトウェアリンク: https://cl.escanav.com/ewconsole.dll
• プラットフォーム: Windows

技術的分析

eScan Management Consoleは、ダッシュボードビューを含むさまざまな管理操作を処理するWebインターフェース（ewconsole.dll）を公開しています。DashBoardDetailsエンドポイントは、いくつかのクエリ文字列パラメータ（type、subtype、result、windowname、DisplayOSSelection）を受け入れ、その値を使用してサーバーレスポンス内のHTMLコンテンツを動的に構築します。

根本原因

サーバー側のコードは、ユーザーが入力した値をレスポンス本文に埋め込む前に、サニタイズもHTMLエンコーディングも行いません。特に、typeパラメータの値は、"、<、>などの特殊文字をエスケープせずにHTML属性コンテキストに直接反映されます。これにより、攻撃者は属性コンテキストを抜け出し、任意のHTML/JavaScriptタグを注入することができます。

同じ欠陥がsubtypeおよびresultパラメータにも存在します。

脆弱なリクエスト

ペイロードの解説

URLエンコードされたペイロード PS%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E はデコードすると次のようになります:

概念実証

⚠️ 教育的かつ許可されたセキュリティ研究目的のみに使用してください。

前提条件

1. 被害者は認証済みユーザー（例: 管理者）としてeScan Management Consoleにログインしている必要があります。
2. 攻撃者は、以下の細工されたURLを被害者に配信します（例: メールフィッシング、チャットメッセージ、埋め込みリンク経由）。

再現手順

Step 1: 有効な資格情報を使用してeScan Management Consoleにログインします。

Step 2: 以下の細工されたURLに移動する（または認証済み被害者に配信する）:

typeパラメータ内のデコード済みペイロード:

Step 3: ページが読み込まれると、注入されたスクリプトがブラウザで実行されます。被害者のアクティブなセッションクッキーを表示するアラートダイアログが表示されます。

Step 4: 攻撃者はセッションクッキーの値を取得し、それを使用して管理者のセッションを乗っ取り、管理コンソールの完全な制御を得ます。

影響

この脆弱性が悪用されると、攻撃者は以下が可能になります:

• セッションハイジャック / アカウント乗っ取り: 認証済み管理者のセッションクッキーを盗み、資格情報なしでなりすます。
• 資格情報の窃取: 偽のログインフォームやキーロガーを注入してユーザー名とパスワードを取得する。
• マルウェアの配布: 被害者を悪意のあるサイトにリダイレクトしたり、マルウェアをサイレントにダウンロードさせる。
• UIの操作 / 改ざん: 管理コンソールページの内容を変更して管理者を誤解させる。
• 権限昇格: ターゲットは通常管理者であるため、攻撃が成功するとエンドポイントセキュリティ管理プラットフォームの完全な制御が得られ、組織内のすべての管理対象エンドポイントが危険にさらされる可能性があります。

緩和策と修正

ベンダー / 開発者向け

1. 出力エンコーディング: ユーザーが提供したすべての入力をレスポンスに反映する前にHTMLエンコードする（例: < → <、> → >、" → "、' → '）。
2. 入力検証: 厳格な許可リストを適用する。例えば、subtype と result は数値のみを受け付け、それ以外は拒否する。
3. コンテンツセキュリティポリシー (CSP): インラインスクリプトの実行を防ぐために、厳格な Content-Security-Policy HTTP レスポンスヘッダーを展開する。
4. HttpOnly クッキーフラグ: セッションクッキーに HttpOnly 属性を設定し、JavaScript からアクセスできないようにすることで、XSS 脆弱性の影響を大幅に制限する。
5. アップグレード / パッチ: 最新のセキュリティパッチを適用するか、この脆弱性に対処したバージョンの eScan Management Console にアップグレードする。

システム管理者 / ユーザー向け

• eScan Management Console を参照する不審なリンクや予期しないリンクをクリックしない。
• 管理コンソールへのアクセスを信頼できるネットワークに制限し、直接パブリックインターネットに公開しない — VPN または IP 許可リストを使用する。
• セッションアクティビティを監視し、すべての管理操作を監査する。
• ベンダー提供のセキュリティアップデートを迅速に適用する。

開示のタイムライン

参考文献

• NVD — CVE-2023-33731
• Microworld Technologies — eScan Management Console
• CWE-79: Improper Neutralization of Input During Web Page Generation
• OWASP: Cross-Site Scripting (XSS)
• OWASP XSS Prevention Cheat Sheet

著者

Sahil Ojha

この脆弱性は、広く展開されているセキュリティ管理ソフトウェアのセキュリティ上の弱点についての認識を高めるために、責任を持って調査・開示されました。ここで提供されるすべての情報は、教育的および防御的なセキュリティ研究目的のみを目的としています。