技術的背景

リフレクト型XSSとは？

リフレクト型XSSは、アプリケーションがユーザーから提供されたデータ（通常はHTTPリクエストパラメータから）を、適切な検証やエンコーディングなしにHTTP応答に即座に含める場合に発生します。ストアド型XSSとは異なり、悪意のあるペイロードはデータベースに永続化されず、同じリクエスト/レスポンスサイクルでユーザーに反映されます。

根本原因

eScan 管理コンソールは、ページ応答に含める前に GrpPath パラメータの値をサニタイズまたはHTMLエンコードできません。つまり、<、>、" などの特殊文字がそのまま渡され、攻撃者が意図されたHTMLコンテキストを抜け出して実行可能なJavaScriptを注入することを可能にします。

影響

悪用に成功すると、攻撃者は以下を実行できます：

• セッションクッキーの窃取 — 管理者のセッションへの完全なアクセスを取得。
• 被害者に代わってアクションを実行 — ユーザーの追加、設定の変更、ポリシーの展開など。
• 被害者をフィッシングやマルウェアホスティングページにリダイレクト。
• キーストロークの記録や、管理者が入力したフォームデータのキャプチャ。

概念実証

脆弱なエンドポイント

ペイロード例

次のペイロードは、現在のドキュメントクッキーを表示する <script> タグを注入します。これにより、認証されたセッションのコンテキストでスクリプト実行が可能であることを示しています。

注: 実際の攻撃シナリオでは、alert() の呼び出しは、クッキーを攻撃者の管理するサーバーに密かに流出させるコードに置き換えられます。

再現手順

前提条件: 有効なユーザー/管理者資格情報とHTTPインターセプトプロキシ（例：Burp Suite）を用いたeScan管理コンソールへのアクセス。

ステップ1 — eScan管理コンソールにログインします。

内部ネットワーク上のコンソールに有効な資格情報でアクセスし、以下の場所に移動します： 管理対象外コンピュータ → ネットワークコンピュータ

ステップ2 — Burp SuiteでPOSTリクエストをインターセプトします。

プロキシを有効にし、コンソールでネットワークコンピュータのスキャン/グループパス検索アクション（例：グループツリーの閲覧や展開）をトリガーし、送信されるPOSTリクエストをキャプチャします。リクエストボディ内の GrpPath パラメータを見つけ、その値をXSSペイロードに置き換えます：

ステップ3 — リクエストを転送し、スクリプトの実行を確認します。

変更したリクエストを転送すると、注入されたスクリプトがブラウザで実行されます。現在のユーザーのセッションクッキーを表示するアラートボックスが表示され、XSSの悪用が成功したことを確認できます。

修正/緩和策

この脆弱性を緩和するために、以下の対策が推奨されます：

1. 入力検証 — GrpPath フィールドで予期されない文字を拒否または除去します（例：パス値には英数字、ドット、スラッシュのみ許可）。
2. 出力エンコーディング — HTTP応答でレンダリングする前に、ユーザーから提供されたすべてのデータをHTMLエンコードします。最低でも <、>、"、'、& をエンコードします。
3. コンテンツセキュリティポリシー (CSP) — 厳格なCSPヘッダーを展開し、スクリプトの読み込み元を制限し、インラインスクリプトの実行をブロックします。
4. Webアプリケーションファイアウォール (WAF) — 多層防御策としてXSS検出ルールを備えたWAFを使用します。
5. ベンダーパッチ — eScanウェブサイトでセキュリティアドバイザリを確認し、利用可能な最新のアップデートを適用します。

開示タイムライン

参考文献

• CVE-2023-34837 – NVD
• Microworld Technologies – eScan
• OWASP – クロスサイトスクリプティング (XSS)
• CWE-79: Webページ生成時の入力の不適切な無効化

免責事項

このリポジトリは教育および研究目的のみで公開されています。提供される情報は、セキュリティ専門家が脆弱性を理解し、影響を受けるシステムを保護するのに役立つことを目的としています。あなたが所有していない、または明示的な書面によるテスト許可を得ていないシステムを攻撃するためにこの情報を使用しないでください。 著者は、ここに含まれる情報の悪用に対して一切の責任を負いません。