CVE-2023-34836 — eScan Management Console 14.0.1400.2281: 반사형 크로스 사이트 스크립팅(XSS)

개요

CVE ID: CVE-2023-34836
취약점 유형: 반사형 크로스 사이트 스크립팅(XSS)
영향을 받는 제품: Microworld Technologies eScan Management Console
영향을 받는 버전: 14.0.1400.2281
심각도: 중간(CVSS 3.1 기본 점수: 6.1 — AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
발견자: Sahil Ojha
공개 날짜: 2023-06-23
공급업체: Microworld Technologies

설명

Microworld Technologies eScan Management Console v14.0.1400.2281에 반사형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. 이 애플리케이션은 HTTP 응답에 사용자 입력을 반사하기 전에 제대로 삭제(새니타이즈)하거나 인코딩하지 못합니다. 이로 인해 인증된 공격자 — 또는 인증된 사용자가 조작된 URL을 방문하도록 속일 수 있는 인증되지 않은 공격자 — 가 피해자의 브라우저 세션 내에서 임의의 JavaScript 코드를 주입하고 실행할 수 있습니다.

취약한 매개변수는 Dtltyp 및 ListName 으로, 사용자 활동(User Activity) 섹션의 파일 활동 보고서(File Activity Report) 기능의 일부로 처리됩니다.

주입된 스크립트는 피해자의 인증된 세션 컨텍스트에서 실행되므로, 성공적인 악용을 통해 다음을 수행할 수 있습니다:

세션 쿠키를 탈취하여 사용자의 관리 콘솔 세션을 가로챕니다.
피해자를 대신하여 승인되지 않은 작업을 수행합니다(권한 상승, 구성 변경 등).
피싱 콘텐츠를 제공하거나 피해자를 악성 사이트로 리디렉션합니다.
관리 콘솔에 입력된 키 입력 또는 민감한 데이터를 캡처합니다.

영향을 받는 구성 요소

필드	세부 정보
제품	eScan Management Console
공급업체	Microworld Technologies
버전	14.0.1400.2281
소프트웨어 URL	https://cl.escanav.com/ewconsole.dll
플랫폼	Windows
모듈	사용자 활동 → 파일 활동 보고서
매개변수	`Dtltyp`, `ListName`
요청 유형	HTTP GET

취약점 세부 정보

근본 원인

eScan Management Console 웹 애플리케이션은 Dtltyp 및 ListName GET 매개변수를 통해 사용자 제어 값을 수락하고, 적절한 입력 검증, 출력 인코딩 또는 CSP(Content Security Policy) 적용 없이 이를 HTML 응답 본문에 포함합니다. 사용자 입력의 이러한 비삭제 반사로 인해 공격자는 조작된 URL을 로드하는 모든 사용자의 브라우저에서 실행될 임의의 HTML/JavaScript를 주입할 수 있습니다.

공격 벡터

공격자는 Dtltyp 또는 ListName 매개변수에 XSS 페이로드가 포함된 악성 URL을 생성합니다.
공격자는 로그인된 eScan Management Console 사용자(예: 관리자)를 피싱 이메일, 사회공학 또는 워터링홀 공격을 통해 해당 링크를 클릭하도록 속입니다.
콘솔 서버는 HTTP 응답에 페이로드를 반사합니다.
피해자의 브라우저는 eScan Management Console 출처(origin)의 컨텍스트 내에서 주입된 스크립트를 실행합니다.

예시 페이로드

http://<target>/ewconsole.dll?...&Dtltyp=<script>alert(document.cookie)</script>&ListName=<script>alert(1)</script>

URL 인코딩된 형태(실제 HTTP 요청에 나타나는 형태):

http://<target>/ewconsole.dll?...&Dtltyp=%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&ListName=%3Cscript%3Ealert%281%29%3C%2Fscript%3E

참고: 정확한 URL 구조는 대상 설치 환경에 따라 다릅니다. <target>을 eScan Management Console 서버의 IP 주소 또는 호스트 이름으로 바꾸십시오.

개념 증명(Proof of Concept)

1단계 — 로그인 및 취약한 기능으로 이동

유효한 자격 증명으로 eScan Management Console에 로그인하고 사용자 활동 → 파일 활동 보고서로 이동합니다.

파일 활동 보고서 페이지

2단계 — 요청 가로채기

HTTP 인터셉션 프록시(예: Burp Suite)를 사용하여 보고서 페이지가 로드될 때 전송되는 GET 요청을 캡처합니다.

3단계 — XSS 페이로드 주입

캡처된 요청을 수정하여 Dtltyp 및/또는 ListName 매개변수에 XSS 페이로드를 주입한 후 서버로 요청을 전달합니다.

Burp Suite를 통한 XSS 페이로드 주입

4단계 — 코드 실행 확인

요청을 전달한 후 주입된 스크립트가 브라우저에서 실행됩니다. 아래 스크린샷은 페이로드에 의해 트리거된 경고 팝업을 보여줍니다. 이 페이로드는 피해자의 세션 쿠키를 유출하거나 다른 악성 작업을 수행하도록 수정할 수 있습니다.

브라우저에서 트리거된 XSS 경고

영향

영향 영역	설명
기밀성	스크립트에 노출된 세션 쿠키 및 민감한 데이터가 공격자에게 유출될 수 있습니다.
무결성	공격자가 피해자로서 상태 변경 작업(구성 변경, 사용자 관리)을 수행할 수 있습니다.
가용성	피해자의 브라우저 세션에 대한 서비스 거부 공격이 가능합니다.

해결 방안

Microworld Technologies는 다음 완화 조치를 구현하여 이 취약점을 해결해야 합니다:

출력 인코딩: HTML 응답에 반사되는 모든 사용자 제어 값은 응답 본문에 삽입되기 전에 HTML 이스케이프(컨텍스트 인식 출력 인코딩)되어야 합니다. 수동 문자열 교체보다는 검증된 인코딩 라이브러리를 사용하십시오.
입력 검증: Dtltyp 및 ListName 매개변수의 예상 형식과 일치하지 않는 입력을 거부하거나 삭제합니다(예: 허용 목록 방식).
CSP(Content Security Policy): 스크립트를 로드할 수 있는 출처를 제한하고 인라인 스크립트 실행을 차단하기 위해 엄격한 Content-Security-Policy HTTP 응답 헤더를 배포합니다.
HttpOnly 및 Secure 쿠키 플래그: 모든 세션 쿠키에 HttpOnly 및 Secure 플래그를 설정하여 향후 XSS 취약점의 영향을 줄입니다.
정기적인 보안 감사: 웹에 노출된 관리 콘솔에 대해 정기적인 침투 테스트와 코드 검토를 수행하여 유사한 문제를 사전에 식별하고 해결합니다.

참고 자료

면책 조항

이 개념 증명은 교육 및 보안 연구 목적으로만 게시되었습니다. 명시적인 서면 허가 없이 시스템의 취약점을 악용하는 것은 불법이며 비윤리적입니다. 작성자는 본 문서에 제공된 정보의 오용에 대해 어떠한 책임도 지지 않습니다.

CVE-2023-34836

인기