CVE-2023-34836 — eScan Management Console 14.0.1400.2281: 反射型クロスサイトスクリプティング (XSS)

概要

CVE ID: CVE-2023-34836
脆弱性タイプ: 反射型クロスサイトスクリプティング (XSS)
影響を受ける製品: Microworld Technologies eScan Management Console
影響を受けるバージョン: 14.0.1400.2281
深刻度: 中 (CVSS 3.1 基本スコア: 6.1 — AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
発見者: Sahil Ojha
開示日: 2023-06-23
ベンダー: Microworld Technologies

説明

Microworld Technologies eScan Management Console v14.0.1400.2281 に反射型クロスサイトスクリプティング (XSS) の脆弱性が存在します。このアプリケーションは、ユーザー提供の入力をHTTPレスポンスに反映する前に適切にサニタイズまたはエンコードできません。これにより、認証された攻撃者、または認証されたユーザーを騙して細工されたURLにアクセスさせる認証されていない攻撃者が、被害者のブラウザセッション内で任意のJavaScriptコードを注入して実行することが可能になります。

脆弱なパラメータは Dtltyp と ListName であり、これらは User Activity セクションの File Activity Report 機能の一部として処理されます。

注入されたスクリプトは被害者の認証されたセッションのコンテキストで実行されるため、悪用に成功すると以下のことが可能です：

• セッションクッキーを盗み、ユーザーの管理コンソールセッションを乗っ取る。
• 被害者に代わって許可されていないアクションを実行する（権限昇格、設定変更など）。
• フィッシングコンテンツを配信したり、被害者を悪意のあるサイトにリダイレクトする。
• 管理コンソールに入力されたキーストロークや機密データを取得する。

影響を受けるコンポーネント

脆弱性の詳細

根本原因

eScan Management Console Webアプリケーションは、Dtltyp および ListName GETパラメータを介してユーザー制御の値を受け入れ、適切な入力検証、出力エンコーディング、またはコンテンツセキュリティポリシー (CSP) の適用を行わずにHTMLレスポンス本文に含めます。このサニタイズされていないユーザー入力の反映により、攻撃者は細工されたURLを読み込んだ任意のユーザーのブラウザで実行される任意のHTML/JavaScriptを注入できます。

攻撃ベクトル

1. 攻撃者は、Dtltyp または ListName パラメータにXSSペイロードを含む悪意のあるURLを作成します。
2. 攻撃者は、ログインしているeScan Management Consoleユーザー（例：管理者）を、フィッシングメール、ソーシャルエンジニアリング、またはウォーターホール攻撃を介してリンクをクリックするように誘導します。
3. コンソールサーバーはペイロードをHTTPレスポンスに反映します。
4. 被害者のブラウザは、eScan Management Consoleオリジンのコンテキストで注入されたスクリプトを実行します。

ペイロード例

http://<target>/ewconsole.dll?...&Dtltyp=<script>alert(document.cookie)</script>&ListName=<script>alert(1)</script>

URLエンコード形式（実際のHTTPリクエストに現れる形）：

http://<target>/ewconsole.dll?...&Dtltyp=%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&ListName=%3Cscript%3Ealert%281%29%3C%2Fscript%3E

注記: 正確なURL構造はターゲットのインストール環境によって異なります。<target> をeScan Management ConsoleサーバーのIPアドレスまたはホスト名に置き換えてください。

概念実証

ステップ1 — ログインして脆弱な機能に移動

有効な認証情報でeScan Management Consoleにログインし、User Activity → File Activity Report に移動します。

ステップ2 — リクエストをインターセプト

HTTPインターセプトプロキシ（例：Burp Suite）を使用して、レポートページが読み込まれるときに送信されるGETリクエストをキャプチャします。

ステップ3 — XSSペイロードを注入

キャプチャしたリクエストを変更し、Dtltyp パラメータや ListName パラメータにXSSペイロードを注入してから、リクエストをサーバーに転送します。

ステップ4 — コードの実行を確認

リクエストを転送した後、注入されたスクリプトがブラウザで実行されます。以下のスクリーンショットはペイロードによってトリガーされたアラートポップアップを示しています。このペイロードは、被害者のセッションクッキーを外部に漏洩させたり、他の悪意のあるアクションを実行するように変更可能です。

影響

修復策

Microworld Technologiesは、以下の緩和策を実装してこの脆弱性に対処すべきです。

1. 出力エンコーディング: HTMLレスポンスに反映されるすべてのユーザー制御値は、レスポンス本文に挿入する前にHTMLエスケープ（コンテキストに応じた出力エンコーディング）する必要があります。手動の文字列置換ではなく、十分にテストされたエンコーディングライブラリを使用してください。
2. 入力検証: Dtltyp および ListName パラメータの期待される形式に準拠しない入力を拒否またはサニタイズします（例：許容値を許可リスト化する）。
3. コンテンツセキュリティポリシー (CSP): 厳格な Content-Security-Policy HTTPレスポンスヘッダーを展開し、スクリプトをロードできるソースを制限し、インラインスクリプトの実行をブロックします。
4. HttpOnly および Secure Cookie フラグ: すべてのセッションクッキーに HttpOnly および Secure フラグを設定し、将来のXSS脆弱性の影響を軽減します。
5. 定期的なセキュリティ監査: Webに公開された管理コンソールに対して定期的なペネトレーションテストとコードレビューを実施し、同様の問題を積極的に特定して修復します。

参考文献

• NVD — CVE-2023-34836
• MITRE CVE レコード
• OWASP: クロスサイトスクリプティング (XSS)
• OWASP: XSS防止チートシート
• Microworld Technologies eScan

免責事項

この概念実証は教育およびセキュリティ研究目的のみで公開されています。明示的な書面による許可なくシステムの脆弱性を悪用することは違法かつ非倫理的です。著者は、本書に記載された情報の誤用について一切の責任を負いません。