CVE-2023-33730 — Escalação de Privilégios no eScan Management Console

Severidade: Crítica
ID CVE: CVE-2023-33730
Divulgado: 30 de maio de 2023
Autor: Sahil Ojha

Índice

• Overview
• Vulnerability Details
• Impact
• Technical Analysis
• Proof of Concept
• Remediation
• References
• Disclaimer

Visão Geral

O eScan Management Console é uma solução centralizada de gerenciamento de segurança desenvolvida pela Microworld Technologies. Ele permite que administradores de TI empresariais implantem, gerenciem e monitorem agentes antivírus/proteção de endpoints do eScan em toda uma rede a partir de um único console baseado na web.

A versão 14.0.1400.2281 deste console contém uma vulnerabilidade crítica de Escalação de Privilégios. Devido a uma verificação de autorização ausente no endpoint da API GetUserCurrentPwd, qualquer usuário autenticado — independentemente do seu nível de privilégio — pode recuperar as senhas em texto puro de todas as contas registradas no console, incluindo contas de administrador. Isso permite imediatamente a assunção completa do console de gerenciamento e, por extensão, de todos os endpoints gerenciados na rede.

Detalhes da Vulnerabilidade

Impacto

Esta vulnerabilidade tem um impacto crítico no mundo real:

• Escalação Horizontal de Privilégios — Um usuário comum (de baixo privilégio) pode recuperar as senhas em texto puro de todos os outros usuários comuns, possibilitando a assunção de contas no mesmo nível de privilégio.
• Escalação Vertical de Privilégios — Ao manipular um único parâmetro de URL (UsrId), o mesmo usuário de baixo privilégio pode recuperar a senha em texto puro da conta de administrador, concedendo controle administrativo total sobre o eScan Management Console.
• Exposição em Massa de Credenciais — Todas as senhas de usuários são armazenadas e retornadas em texto puro, o que significa que uma única chamada de API pode enumerar credenciais de todas as contas do sistema simultaneamente.
• Comprometimento Total da Rede — Como o eScan Management Console controla agentes antivírus/endpoints em toda a rede empresarial, o acesso administrativo ao console pode permitir que um invasor desative a proteção de endpoints, implante software malicioso ou se mova lateralmente para outros sistemas na rede.

Análise Técnica

A vulnerabilidade reside na função GetUserCurrentPwd exposta pela interface web do eScan Management Console. Esse endpoint tem a finalidade de permitir que um usuário recupere a própria senha para fins de edição de perfil. No entanto, a implementação apresenta uma falha de Autorização Quebrada no Nível de Objeto (BOLA / IDOR):

1. Sem verificação de propriedade — O endpoint aceita um parâmetro UsrId, mas não verifica se o usuário solicitante é o dono da conta correspondente àquele ID.
2. Sem verificação de privilégio — Qualquer sessão autenticada, independentemente da função, pode invocar esse endpoint para qualquer valor de UsrId.
3. Armazenamento/resposta de senha em texto puro — As senhas são retornadas em texto puro no corpo da resposta HTTP, contornando qualquer proteção de criptografia ou hash que possa existir.

Padrão de solicitação vulnerável:

GET /eScanWebConsole/webpages/...?action=GetUserCurrentPwd&UsrId=<TARGET_USER_ID> HTTP/1.1
Host: <escan-console-host>
Cookie: <valid-session-cookie>

Ao iterar sobre valores sequenciais de UsrId, um invasor pode despejar as credenciais de todos os usuários do sistema em uma única varredura automatizada.

Prova de Conceito

Nota: As etapas a seguir demonstram a vulnerabilidade em um ambiente de laboratório controlado. Não tente reproduzir isso contra qualquer sistema que você não possua ou para o qual não tenha permissão explícita por escrito para testar.

Etapa 1 — Criar um usuário de baixo privilégio

Entre no eScan Management Console usando credenciais válidas de administrador e crie uma nova conta de usuário com acesso de nível normal (baixo privilégio).

Etapa 2 — Entrar como o usuário de baixo privilégio

Saia da sessão de administrador e entre usando as credenciais do usuário normal recém-criado.

Etapa 3 — Capturar a solicitação GET de edição de perfil

Enquanto estiver conectado como usuário normal, navegue até a seção Editar Perfil / Alterar Senha. Intercepte o tráfego HTTP de saída usando o Burp Suite (ou um proxy HTTP equivalente). Identifique e capture a solicitação GET GetUserCurrentPwd conforme mostrado abaixo.

Etapa 4 — Encaminhar a solicitação e observar a senha em texto puro

Envie a solicitação capturada para o Burp Suite Repeater e encaminhe-a. Observe que a resposta do servidor contém a senha em texto puro do usuário normal atualmente autenticado — nenhum privilégio de administrador é necessário para recuperá-la.

Etapa 5 — Escalar para administrador modificando UsrId

No Burp Suite Repeater, modifique o parâmetro UsrId para o ID da conta de administrador (ou de qualquer outra conta). Encaminhe a solicitação modificada. O servidor responde com a senha em texto puro do administrador, bem como com as senhas de qualquer outro usuário cujo UsrId seja fornecido.

Etapa 6 — Assunção total da conta

Use a senha do administrador recuperada para entrar no console como administrador, obtendo privilégios administrativos completos sobre o eScan Management Console e todos os endpoints gerenciados na rede.

Remediação

A Microworld Technologies deve aplicar as seguintes mitigações:

1. Impor autorização no nível de objeto — Antes de retornar qualquer senha (ou qualquer campo sensível), o servidor deve verificar se o UsrId na solicitação corresponde ao ID do dono da sessão. Solicitações de dados de outros usuários devem ser rejeitadas com HTTP 403 Forbidden.
2. Nunca retornar senhas em texto puro — As senhas devem ter hash antes do armazenamento (por exemplo, usando bcrypt, Argon2) e nunca devem ser retornadas ao cliente de qualquer forma. Se for necessária uma confirmação de "senha atual", exija que o usuário digite novamente a senha e valide seu hash no lado do servidor.
3. Implementar Controle de Acesso Baseado em Funções (RBAC) adequado — Funções administrativas sensíveis da API devem ser acessíveis apenas a sessões com o nível de privilégio apropriado.
4. Aplicar limitação de taxa e detecção de anomalias — Limite a taxa com que o endpoint GetUserCurrentPwd pode ser chamado por sessão e alerte sobre padrões de acesso do tipo enumeração.
5. Atualizar para a versão mais recente — Os usuários devem atualizar o eScan Management Console para a versão mais recente disponível que corrija essa vulnerabilidade, conforme orientação da Microworld Technologies.

Referências

• NVD — CVE-2023-33730
• MITRE CVE — CVE-2023-33730
• Microworld Technologies eScan
• OWASP — Autorização Quebrada no Nível de Objeto (API1:2023)
• OWASP — Referência Direta Insegura a Objeto (IDOR)

Aviso Legal

Este repositório e seu conteúdo são fornecidos estritamente para fins educacionais e de pesquisa. Os detalhes da vulnerabilidade e as etapas da prova de conceito são divulgados de acordo com os princípios de divulgação responsável para ajudar defensores a entender e corrigir o problema.

Não use estas informações para atacar, comprometer ou obter acesso não autorizado a qualquer sistema. Testes não autorizados contra sistemas que você não possui ou para os quais não tem permissão explícita por escrito são ilegais e antiéticos.

O autor e os contribuidores não assumem nenhuma responsabilidade pelo mau uso das informações contidas neste repositório.