CVE-2023-33732 — eScan Management Console における反射型クロスサイトスクリプティング

概要

CVE-2023-33732 は、Microworld Technologies eScan Management Console バージョン 14.0.1400.2281 で発見された 反射型クロスサイトスクリプティング (XSS) の脆弱性です。この欠陥は New Policy 割り当てフォーム（AssignPolicyTemplate エンドポイント）に存在し、リモートの未認証攻撃者が、細工された URL をクリックするよう誘導された認証済みユーザーのブラウザ上で任意の JavaScript を注入・実行できるようにします。

アプリケーションはユーザーが入力した値を適切なサニタイズや出力エンコーディングなしに HTML レスポンスへ直接反射するため、攻撃者はセッション Cookie を窃取したり、被害者に代わって操作を実行したり、ユーザーを悪意のあるコンテンツへリダイレクトしたりすることができます。これらはすべてサーバー上の特別な権限を必要としません。

脆弱性の詳細

反射型 XSS とは

クロスサイトスクリプティング (XSS) は、悪意のあるスクリプトが信頼された Web ページに注入されるインジェクション攻撃の一種です。反射型では、ペイロードが細工された URL に埋め込まれ、サーバーの HTTP レスポンス内で即座にユーザーへ「反射」されます。被害者のブラウザは脆弱なサイトのコンテキストでスクリプトを実行するため、スクリプトには正規のページコンテンツと同じ信頼レベルが付与されます。

一般的な影響は次のとおりです:

• セッションハイジャック — Cookie を窃取して認証済みユーザーになりすます。
• 認証情報の窃取 — 偽のログインプロンプトを重ねて表示する。
• マルウェア配布 — ユーザーを攻撃者が管理するページへリダイレクトする。
• 改ざん / UI 操作 — ページの視覚的コンテンツを変更する。

技術的分析

eScan 管理コンソールの AssignPolicyTemplate エンドポイントは、複数の GET パラメーターを受け入れ、"、<、> などの特殊文字をサニタイズせずに HTML ページ内へレンダリングします。つまり、次のような値:

"><script>alert(document.cookie)</script>

は、周囲の HTML 属性コンテキストから抜け出し、DOM 内に完全に実行可能な <script> タグを注入します。

影響を受けるパラメーター

概念実証 (PoC)

⚠️ 教育目的および許可されたテスト目的のみに使用してください。

再現手順

1. 認証 — 有効な資格情報で eScan Management Console にログインします。

2. 悪意のある URL を作成 — 次の URL は type パラメーターを悪用して、被害者のセッション Cookie を外部へ送信する <script> タグを注入します:

   root@kitploit:~

   https://<target-host>/ewconsole/ewconsole.dll/AssignPolicyTemplate?type=%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E&edit=0&txtPolicyType=&txtPolicyPath=!!!!%24%5CPolicies&Deletefileval=Roaming%20Users_Policy2&defaultpolicy=1
   

   URL デコードされた type 内のペイロード:

   root@kitploit:~

   "><script>alert(document.cookie)</script>
   

3. URL を配信 — 細工されたリンクを認証済みの管理者に送信します（例: メールやチャット経由）。

4. 実行を確認 — URL にアクセスすると、ブラウザが注入されたスクリプトを実行します。アラートダイアログに現在のセッション Cookie が表示され、任意の JavaScript が実行されたことが確認できます。

スクリーンショット

手順 1 — 脆弱な URL へのアクセス:

手順 2 — セッション Cookie が表示された XSS アラートのポップアップ:

手順 3 — 管理者 Cookie が露出し、セッションハイジャックが可能な状態:

影響

この脆弱性の悪用に成功した攻撃者は、次のことが可能です:

• 管理者のセッション Cookie を窃取し、資格情報を知らなくても管理コンソールを乗っ取る。
• 管理対象エンドポイントへの横展開 — コンソールは組織全体のウイルス対策ポリシーを管理するため、コンソールの乗っ取りにより、攻撃者は管理対象の全デバイスでセキュリティポリシーを無効化できる可能性があります。
• フィッシング攻撃の実施 — 信頼されたコンソールドメインに偽の UI 要素（ログインプロンプト、エラーメッセージ）を注入します。
• コンソール内で被害者に代わって任意の操作を実行（アカウント作成、ポリシー変更、レポートのダウンロード）。

対策

Microworld Technologies は以下の緩和策を適用する必要があります:

1. 出力エンコーディング — すべてのユーザー入力値をページにレンダリングする前に、コンテキストに応じた出力エンコーディングを使用してください。これらのパラメーターが注入される HTML 属性コンテキストでは、少なくとも <、>、"、'、& を HTML エンティティ相当のものにエンコードします。エンコーディング戦略はコンテキストによって異なることに注意してください。HTML ボディ、HTML 属性、JavaScript、URL の各コンテキストにはそれぞれ独自のエンコーディング規則が必要です。
2. 入力検証 — 影響を受けるパラメーターで正当な用途のない文字を拒否または除去します。
3. コンテンツセキュリティポリシー (CSP) — XSS ペイロードが注入された場合でもインラインスクリプトの実行を防ぐため、厳格な CSP ヘッダー（script-src 'self'）を展開します。
4. セキュリティテスト — 自動 XSS スキャン（例: OWASP ZAP、Burp Suite）を CI/CD パイプラインに統合し、回帰を早期に検出します。

参考情報

• NVD — CVE-2023-33732
• OWASP — Cross-Site Scripting (XSS)
• OWASP — XSS Prevention Cheat Sheet
• CWE-79: Improper Neutralization of Input During Web Page Generation

免責事項

このリポジトリは教育目的および責任ある情報開示の目的のみで公開されています。ここに記載されている概念実証 (PoC) 情報は、システム所有者から明示的な書面による許可を得ずにシステムへ攻撃を仕掛けるために使用してはなりません。著者は、本書に含まれる情報の誤用について一切の責任を負いません。