CVE-2023-33730 — Повышение привилегий в eScan Management Console

Серьёзность: Критическая
Идентификатор CVE: CVE-2023-33730
Дата раскрытия: 30 мая 2023 г.
Автор: Sahil Ojha

Содержание

Обзор
Детали уязвимости
Воздействие
Технический анализ
Подтверждение концепции
Устранение
Ссылки
Отказ от ответственности

Обзор

eScan Management Console — это централизованное решение для управления безопасностью, разработанное компанией Microworld Technologies. Оно позволяет ИТ-администраторам предприятий развёртывать, управлять и контролировать антивирусные агенты и агенты защиты конечных точек eScan во всей сети из единой веб-консоли.

Версия 14.0.1400.2281 этой консоли содержит критическую уязвимость повышения привилегий. Из-за отсутствия проверки авторизации в конечной точке API GetUserCurrentPwd любой аутентифицированный пользователь — независимо от уровня своих привилегий — может получить пароли в открытом виде всех учётных записей, зарегистрированных в консоли, включая учётные записи администраторов. Это немедленно позволяет полностью захватить управление консолью и, как следствие, всеми управляемыми конечными точками в сети.

Детали уязвимости

Поле	Значение
Идентификатор CVE	CVE-2023-33730
Продукт	Microworld Technologies eScan Management Console
Уязвимая версия	14.0.1400.2281
Тип уязвимости	Повышение привилегий / Нарушенная авторизация на уровне объектов (BOLA / IDOR)
Вектор атаки	Сеть (аутентифицированный пользователь с низкими привилегиями)
Аутентификация	Требуется (любая действительная учётная запись)
Оценка CVSS	Критическая
Дата раскрытия	30 мая 2023 г.
Исследователь	Sahil Ojha
Сайт вендора	https://www.escanav.com
Затронутое ПО	https://cl.escanav.com/ewconsole.dll
Протестировано на	Windows

Воздействие

Данная уязвимость имеет критическое воздействие в реальных условиях:

Горизонтальное повышение привилегий — обычный (с низкими привилегиями) пользователь может получить пароли в открытом виде всех остальных обычных пользователей, что позволяет захватывать учётные записи на том же уровне привилегий.
Вертикальное повышение привилегий — изменяя всего один параметр URL (UsrId), тот же пользователь с низкими привилегиями может получить пароль в открытом виде учётной записи администратора, что даёт полный административный контроль над eScan Management Console.
Массовое раскрытие учётных данных — все пароли пользователей хранятся и возвращаются в открытом виде, то есть один вызов API может перечислить учётные данные всех учётных записей в системе одновременно.
Полная компрометация сети — поскольку eScan Management Console управляет антивирусными агентами и агентами конечных точек во всей корпоративной сети, административный доступ к консоли может позволить атакующему отключить защиту конечных точек, развернуть вредоносное ПО или переместиться на другие системы в сети.

Технический анализ

Уязвимость находится в функции GetUserCurrentPwd, предоставляемой веб-интерфейсом eScan Management Console. Эта конечная точка предназначена для того, чтобы пользователь мог получить собственный пароль для редактирования профиля. Однако в реализации присутствует ошибка нарушенной авторизации на уровне объектов (BOLA / IDOR):

Отсутствует проверка владения — конечная точка принимает параметр UsrId, но не проверяет, что запрашивающий пользователь владеет учётной записью, соответствующей этому идентификатору.
Отсутствует проверка привилегий — любой аутентифицированный сеанс, независимо от роли, может вызывать эту конечную точку для любого значения UsrId.
Хранение и возврат паролей в открытом виде — пароли возвращаются в открытом виде в теле HTTP-ответа, что обходит любую защиту шифрованием или хешированием, которая может существовать.

Шаблон уязвимого запроса:

GET /eScanWebConsole/webpages/...?action=GetUserCurrentPwd&UsrId=<TARGET_USER_ID> HTTP/1.1
Host: <escan-console-host>
Cookie: <valid-session-cookie>

Перебирая последовательные значения UsrId, атакующий может выгрузить учётные данные всех пользователей системы одним автоматизированным проходом.

Подтверждение концепции

Примечание: следующие шаги демонстрируют уязвимость в контролируемой лабораторной среде. Не пытайтесь воспроизвести её против любой системы, которой вы не владеете или на тестирование которой у вас нет явного письменного разрешения.

Шаг 1 — Создание пользователя с низкими привилегиями

Войдите в eScan Management Console, используя действительные учётные данные администратора, и создайте новую учётную запись с уровнем доступа обычного (с низкими привилегиями) пользователя.

Шаг 1 – Создание обычного пользователя

Шаг 2 — Вход как пользователь с низкими привилегиями

Выйдите из сеанса администратора и войдите, используя учётные данные только что созданного обычного пользователя.

Шаг 2 – Вход как обычный пользователь

Шаг 3 — Перехват GET-запроса редактирования профиля

Оставаясь в системе как обычный пользователь, перейдите в раздел Редактирование профиля / Смена пароля. Перехватите исходящий HTTP-трафик с помощью Burp Suite (или аналогичного HTTP-прокси). Найдите и захватите GET-запрос GetUserCurrentPwd, как показано ниже.

Шаг 3 – Перехват GET-запроса в Burp Suite

Шаг 4 — Пересылка запроса и наблюдение за паролем в открытом виде

Отправьте захваченный запрос в Burp Suite Repeater и перешлите его. Обратите внимание, что ответ сервера содержит пароль в открытом виде текущего аутентифицированного обычного пользователя — для его получения не требуются привилегии администратора.

Шаг 4 – Пароль в открытом виде в ответе сервера

Шаг 5 — Повышение до администратора путём изменения `UsrId`

В Burp Suite Repeater измените параметр UsrId на идентификатор учётной записи администратора (или любой другой учётной записи). Перешлите изменённый запрос. Сервер отвечает паролем администратора в открытом виде, а также паролями любого другого пользователя, чей UsrId был указан.

Шаг 5 – Пароль администратора раскрыт через IDOR

Шаг 6 — Полный захват учётной записи

Используйте полученный пароль администратора для входа в консоль под учётной записью администратора, получив полные административные привилегии над eScan Management Console и всеми управляемыми конечными точками в сети.

Популярное

CVE-2023-33730