Обзор

В продукте eScan Management Console (версия 14.0.1400.2281), разработанном компанией Microworld Technologies, обнаружена уязвимость Reflected Cross-Site Scripting (XSS) (отражённый межсайтовый скриптинг). Уязвимость присутствует в конечной точке Dashboard Details (DashBoardDetails), где несколько параметров строки запроса отражаются в HTML-ответе без надлежащей санитизации или кодирования вывода. Неаутентифицированный удалённый злоумышленник может создать вредоносный URL и обманом заставить аутентифицированного администратора перейти по нему, что приведёт к выполнению произвольного JavaScript в сессии браузера жертвы.

Детали уязвимости

Серьёзность и оценка CVSS

Вектор CVSS 3.1: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Затронутый продукт

• Продукт: eScan Management Console (веб-платформа управления безопасностью конечных точек)
• Вендор: Microworld Technologies
• Версия: 14.0.1400.2281
• Ссылка на ПО: https://cl.escanav.com/ewconsole.dll
• Платформа: Windows

Технический анализ

Консоль управления eScan предоставляет веб-интерфейс (ewconsole.dll), который обрабатывает различные операции управления, включая просмотр панелей мониторинга. Конечная точка DashBoardDetails принимает несколько параметров строки запроса (type, subtype, result, windowname, DisplayOSSelection) и использует их значения для динамического формирования HTML-содержимого в ответе сервера.

Корневая причина

Серверный код не выполняет санитизацию или HTML-кодирование пользовательского ввода перед встраиванием его в тело ответа. В частности, значение параметра type отражается напрямую в контекст HTML-атрибута без экранирования специальных символов, таких как ", < и >. Это позволяет злоумышленнику выйти за пределы контекста атрибута и внедрить произвольные HTML/JavaScript-теги.

Аналогичный недостаток присутствует в параметрах subtype и result.

Уязвимый запрос

Разбор полезной нагрузки

URL-закодированная полезная нагрузка PS%22%3E%3Cscript%3Ealert(document.cookie)%3C/script%3E декодируется в:

Доказательство концепции

⚠️ Только для образовательных и авторизованных исследовательских целей в области безопасности.

Предварительные условия

1. Жертва должна быть авторизована в консоли управления eScan как аутентифицированный пользователь (например, администратор).
2. Злоумышленник доставляет жертве следующий подготовленный URL (например, через фишинговое письмо, сообщение в чате или встроенную ссылку).

Шаги воспроизведения

Шаг 1: Войдите в консоль управления eScan, используя действительные учётные данные.

Шаг 2: Перейдите по (или доставьте аутентифицированной жертве) следующему подготовленному URL:

Декодированная полезная нагрузка в параметре type:

Шаг 3: После загрузки страницы внедрённый сценарий выполняется в браузере. Появляется диалоговое окно с предупреждением, отображающее активную cookie сессии жертвы.

Шаг 4: Злоумышленник перехватывает значение cookie сессии и использует его для захвата сессии администратора, получая полный контроль над консолью управления.

Влияние

Успешная эксплуатация этой уязвимости позволяет злоумышленнику:

• Перехват сессии / захват учётной записи: Похитить cookie сессии аутентифицированного администратора и выдать себя за него без необходимости в учётных данных.
• Кража учётных данных: Внедрить поддельную форму входа или кейлоггер для перехвата имён пользователей и паролей.
• Распространение вредоносного ПО: Перенаправить жертву на вредоносный сайт или незаметно загрузить вредоносное ПО.
• Манипуляция интерфейсом / дефейс: Изменить содержимое страницы консоли управления, чтобы ввести администратора в заблуждение.
• Повышение привилегий: Поскольку целью обычно является администратор, успешная атака приводит к полному контролю над платформой управления безопасностью конечных точек, что потенциально ставит под угрозу все управляемые конечные точки организации.

Смягчение и устранение уязвимости

Для вендора / разработчиков

1. Кодирование вывода: Выполняйте HTML-кодирование всего пользовательского ввода перед отражением в ответах (например, < → <, > → >, " → ", ' → ').
2. Проверка ввода: Применяйте строгие списки разрешений; например, subtype и result должны принимать только числовые значения и отклонять всё остальное.
3. Политика безопасности содержимого (CSP): Разверните строгий HTTP-заголовок ответа Content-Security-Policy, чтобы предотвратить выполнение встроенных сценариев.
4. Флаг cookie HttpOnly: Установите атрибут HttpOnly для cookies сессии, чтобы JavaScript не мог получить к ним доступ, что значительно ограничивает влияние любой XSS-уязвимости.
5. Обновление / исправление: Примените последние исправления безопасности или обновите eScan Management Console до версии, устраняющей эту уязвимость.

Для системных администраторов / пользователей

• Избегайте перехода по нежелательным или неожиданным ссылкам, ссылающимся на вашу консоль управления eScan.
• Ограничьте доступ к консоли управления доверенными сетями; не открывайте её напрямую в публичном интернете — используйте VPN или список разрешённых IP-адресов.
• Отслеживайте активность сессий и проводите аудит всех административных действий.
• Своевременно применяйте обновления безопасности от вендора.

Хронология раскрытия

Ссылки

• NVD — CVE-2023-33731
• Microworld Technologies — консоль управления eScan
• CWE-79: Некорректная нейтрализация ввода при генерации веб-страницы
• OWASP: Cross-Site Scripting (XSS)
• OWASP: Шпаргалка по предотвращению XSS

Автор

Sahil Ojha

Эта уязвимость была ответственно исследована и раскрыта с целью повышения осведомлённости о слабостях безопасности в широко распространённом программном обеспечении для управления безопасностью. Вся информация, представленная здесь, предназначена исключительно для образовательных и защитных исследовательских целей в области безопасности.