この脆弱性は 2023年6月23日 に Sahil Ojha によって発見され、責任を持って開示されました。識別子 CVE-2023-34835 が割り当てられています。

脆弱性の詳細

影響を受ける製品

eScan Management Console は、Microworld Technologies が開発したエンタープライズセキュリティ管理プラットフォームです。組織が内部ネットワーク全体でエンドポイントセキュリティポリシー、アンチウイルス展開、レポート、アラートを一元管理するために使用されます。このコンソールは通常、内部 (企業) ネットワーク上に配置され、アクセスには認証が必要であるため、この脆弱性は、認証済みの内部関係者やネットワーク内に足場を築いた攻撃者によって悪用される可能性があります。

影響を受けるコンポーネント: レポートテンプレート 削除エンドポイントは、delete_file パラメータを HTTP レスポンスに反映する前にサニタイズまたはエンコードしないため、被害者のブラウザセッションのコンテキストで JavaScript ペイロードが実行される可能性があります。

技術的分析

eScan Management Console の レポートテンプレート 機能は、レポートテンプレートファイルを削除するための POST エンドポイントを公開しています。サーバー側ハンドラーは、delete_file パラメータの値を 適切な出力エンコードや入力検証を行わずに HTML レスポンスに直接反映します。JavaScript ペイロードを含む細工されたリクエストが送信されると、ブラウザは注入されたスクリプトを解釈して実行します。

攻撃ベクトルの概要:

1. 攻撃者 (または悪意のある内部関係者) は、レポートテンプレート削除エンドポイントへの POST リクエストを傍受または作成します。
2. delete_file パラメータが、"> などの XSS ペイロードに置き換えられます。
3. サーバーは、サニタイズされていない値をレスポンスページに反映します。
4. 被害者のブラウザがレスポンスをレンダリングし、注入されたスクリプトを実行します。

セッションクッキーは document.cookie を介してアクセス可能であり (影響を受けるバージョンでは HttpOnly フラグで保護されていません)、この XSS はセッションハイジャック攻撃と連鎖させ、完全なアカウント乗っ取り を実行できる可能性があります。

概念実証 (再現手順)

前提条件: eScan Management Console インスタンスの有効な認証情報 (内部ネットワークへのアクセスが必要)。
必要なツール: Web ブラウザと HTTP 傍受プロキシ (例: Burp Suite)。

ステップ 1 — eScan Management Console にログインする

有効なユーザー認証情報を使用して eScan Management Console に認証します。このコンソールは通常、組織の内部ネットワークからのみアクセスできます。

ステップ 2 — レポートテンプレートに移動して削除を開始する

1. 左側のナビゲーションメニューで、レポートテンプレート セクションを見つけます。
2. リストから既存のレポートテンプレートを選択します。
3. 削除 ボタンをクリックして削除アクションを実行します。

ステップ 3 — Burp Suite で DELETE リクエストを傍受する

Burp Suite (または別の HTTP プロキシ) を使用して、削除ボタンがクリックされたときに生成される送信 POST リクエストを傍受します。このリクエストには、値がレポートテンプレートファイルの名前である delete_file パラメータが含まれます。

delete_file の値を XSS ペイロードに置き換えます。例:

ステップ 4 — リクエストを転送してコード実行を確認する

変更したリクエストを転送します。サーバーは、サニタイズせずに注入されたペイロードをレスポンスに反映します。ブラウザが JavaScript を実行し、アラートダイアログに被害者のセッションクッキーが表示されます。

ここで公開されたセッションクッキーは、攻撃者が管理するサーバーに窃取され、認証済みセッションのハイジャック (アカウント乗っ取り) に使用される可能性があります。

影響

悪用には内部ネットワーク上の認証済みセッションが必要ですが、eScan Management Console の管理者は通常、エンドポイントセキュリティ設定への広範なアクセス権を持つため、その影響は重大です。

緩和策と是正措置

この脆弱性に対処するために、以下のアクションが推奨されます。

1. ベンダーパッチの適用: Microworld Technologies のサポート (https://www.escanav.com) に連絡するか、公式ダウンロードポータルでこの脆弱性に対処した eScan Management Console の更新バージョンを確認してください。
2. 入力検証: 処理前に、すべてのユーザー提供入力 (delete_file などの POST パラメータを含む) が厳格な許可リストに対して検証されていることを確認してください。
3. 出力エンコーディング: HTML レスポンスに反映されるすべてのデータは、スクリプトインジェクションを防ぐために適切に HTML エンコード (例: < → <、> → >) される必要があります。
4. HttpOnly クッキーフラグの設定: セッションクッキーに HttpOnly 属性を設定して、クライアント側スクリプトがアクセスできないようにし、XSS 脆弱性の影響を軽減します。
5. コンテンツセキュリティポリシー (CSP): スクリプトを読み込んで実行できるソースを制限するために、厳格な CSP ヘッダーを実装します。
6. ネットワークアクセス制御: eScan Management Console へのアクセスを信頼できる IP 範囲に制限し、リモートアクセスには VPN を要求します。

参考情報

• NVD – CVE-2023-34835
• MITRE CVE エントリ – CVE-2023-34835
• CWE-79: ウェブページ生成時の入力の不適切な無害化 (クロスサイトスクリプティング)
• OWASP – クロスサイトスクリプティング (XSS)
• Microworld Technologies – eScan アンチウイルス

免責事項

このリポジトリおよびそこに含まれる情報は、教育および許可されたセキュリティ研究の目的に厳密に限定して 提供されます。概念実証の詳細は、防御側が脆弱性を理解し、適切に是正できるようにすることを目的としています。

この情報を使用して、自分が所有していない、または明示的な書面によるテスト許可を得ていないシステムを攻撃したり侵害したりしないでください。 この情報の不正使用は、適用法および規制に違反する可能性があります。著者は、本資料の誤用について一切の責任を負いません。