sahiloj/cve-2023-34838Microworld Technologies eScan Management Console バージョン 14.0.1400.2281 は、格納型クロスサイトスクリプティング（XSS）攻撃に対して脆弱です。
Microworld Technologies eScan Management Console バージョン 14.0.1400.2281 には、保存型クロスサイトスクリプティング (XSS) 攻撃に対する脆弱性があります。ロール管理機能にアクセスできる認証済みの攻撃者は、新しいロールの 説明 (Description) フィールドに悪意のあるスクリプトを注入できます。ペイロードはアプリケーションデータベースに永続化され、その後影響を受けるページを表示したすべてのユーザー (特権を持つ管理者を含む) のブラウザで実行されます。
注入されたスクリプトは被害者の認証済みセッションのコンテキストで実行されるため、攻撃者はこの脆弱性を利用して、管理コンソール内でセッションクッキーの窃取、被害者に代わった操作の実行、ユーザーをフィッシングページへのリダイレクト、権限の昇格を行うことができます。
| 項目 | 値 |
|---|
| CVE ID | CVE-2023-34838 |
| 脆弱性の種類 | 保存型クロスサイトスクリプティング (XSS) |
| CWE | CWE-79 – ウェブページ生成時における入力の無害化の不適切さ |
| CVSS v3.1 スコア | 6.4 (中) |
| CVSS ベクター | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
| 影響を受ける製品 | Microworld Technologies eScan Management Console |
| 影響を受けるバージョン | 14.0.1400.2281 |
| テスト環境 | Windows |
| 脆弱性のあるパラメータ | Description (新規ロール作成フォーム) |
| 脆弱性のあるエンドポイント | /ewconsole/ewconsole.dll/NewRole |
| 認証の必要性 | はい (有効なコンソール資格情報が必要) |
| 公開日 | 2023年6月23日 |
| 報告者 | Sahil Ojha |
eScan Management Console は、企業が社内ネットワーク全体でウイルス対策ポリシー、パッチ管理、デバイス制御、ユーザーロールを管理するために使用する、一元管理型のエンドポイントセキュリティ管理ソリューションです。そのウェブインターフェースは通常、内部ネットワークに導入され、ポート 10443 でアクセスできます。
このアプリケーションは、新規ロール (New Role) フォームの 説明 (Description) フィールドでユーザーが入力したデータを、データベースに保存してユーザーに再表示する前に、サニタイズまたはエンコードしていません。ロール一覧ページ (RoleMainPage) がレンダリングされると、サニタイズされていないペイロードが HTML レスポンスに直接書き込まれ、ブラウザが注入されたスクリプトを解析して実行します。
"><script>alert(1)</script>
| 影響領域 | 説明 |
|---|---|
| セッションハイジャック | 認証済みセッションクッキーを窃取し、アカウントへの完全なアクセス権を取得する |
| 権限昇格 | より高い権限を持つ被害者に代わって管理者レベルの操作を実行する |
| 資格情報の収集 | 被害者を攻撃者が制御するログインページにリダイレクトする |
| 改ざん | 管理コンソール UI の外観や動作を変更する |
| マルウェアの配布 | 侵害されたページを閲覧しているユーザーに悪意のあるペイロードを配信する |
eScan Management Console にログインし、新規ロール (New Role) ページに移動します。<TARGET_IP> をコンソールの実際の IP アドレス (例: 192.168.1.1) に置き換えます:
http://<TARGET_IP>:10443/ewconsole/ewconsole.dll/NewRole
新規ロール名 (New Role Name) に任意の値 (例: test) を入力し、説明 (Description) フィールドに XSS ペイロードを挿入します:
"><script>alert(1)</script>
リストから任意のグループを選択し、OK をクリックしてロールを保存します。
ロールが保存されると、アプリケーションは ロールメインページ (Role Main Page) (/ewconsole/ewconsole.dll/RoleMainPage) にリダイレクトします。説明フィールドの値がサニタイズされずにそのまま反映されるため、注入された <script> タグが即座に実行され、ブラウザのアラートダイアログが表示されます。
実際の攻撃では、alert(1) の呼び出しは、被害者のセッションクッキーを攻撃者が制御するサーバーへ外部送信 (exfiltrate) するペイロード (例: document.cookie) に置き換えられます。
Microworld Technologies は以下の修正を適用する必要があります:
<, >, ", ', ;) を拒否または除去します。Content-Security-Policy HTTP レスポンスヘッダーを実装します。HttpOnly フラグを設定して JavaScript からアクセスできないようにし、XSS が成功した場合の影響を軽減します。さらに、Secure フラグを設定してセッションクッキーが HTTPS 経由でのみ送信されるようにし、暗号化されていない接続での傍受を防ぎます。Sahil Ojha — セキュリティリサーチャー
発見・報告日: 2023年6月23日
このリポジトリは教育および情報提供のみを目的として公開されています。ここで提供される情報と概念実証コードは、セキュリティ専門家が脆弱性の性質を理解し、パッチ適用と防御に役立てられるようにするためのものです。著者は、この情報を不正または違法な活動に使用することを一切容認しません。所有していないシステムをテストする前に、必ず適切な書面による許可を取得してください。