CVE-2023-34836 — eScan Management Console 14.0.1400.2281: Отражённый межсайтовый скриптинг (XSS)

Обзор

ID CVE: CVE-2023-34836
Тип уязвимости: Отражённый межсайтовый скриптинг (Reflected XSS)
Затронутый продукт: Microworld Technologies eScan Management Console
Затронутая версия: 14.0.1400.2281
Серьёзность: Средняя (CVSS 3.1 Base Score: 6.1 — AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N)
Обнаружено: Sahil Ojha
Дата раскрытия: 2023-06-23
Вендор: Microworld Technologies

Описание

Уязвимость отражённого межсайтового скриптинга (XSS) существует в Microworld Technologies eScan Management Console v14.0.1400.2281. Приложение не выполняет должную очистку или кодирование вводимых пользователем данных перед их отражением в HTTP-ответах. Это позволяет аутентифицированному злоумышленнику — или неаутентифицированному, который может заставить аутентифицированного пользователя перейти по поддельной ссылке — внедрять и выполнять произвольный JavaScript-код в сеансе браузера жертвы.

Уязвимыми параметрами являются Dtltyp и ListName, которые обрабатываются в части Отчёт об активности файлов (File Activity Report) раздела Активность пользователей (User Activity).

Так как внедрённый скрипт выполняется в контексте аутентифицированной сессии жертвы, успешная эксплуатация позволяет:

• Похитить сессионные cookie и перехватить сессию консоли управления пользователя.
• Выполнять несанкционированные действия от имени жертвы (повышение привилегий, изменение конфигурации и т.д.).
• Показывать фишинговый контент или перенаправлять жертву на вредоносный сайт.
• Перехватывать нажатия клавиш или конфиденциальные данные, вводимые в консоль управления.

Затронутый компонент

Детали уязвимости

Корневая причина

Веб-приложение eScan Management Console принимает управляемые пользователем значения через GET-параметры Dtltyp и ListName и включает их в тело HTML-ответа без адекватной проверки входных данных, кодирования вывода или применения Content Security Policy (CSP). Такое неочищенное отражение пользовательского ввода позволяет злоумышленнику внедрить произвольный HTML/JavaScript, который будет выполнен в браузере любого пользователя, загрузившего поддельную ссылку.

Вектор атаки

1. Злоумышленник создаёт поддельный URL, содержащий XSS-полезную нагрузку в параметре Dtltyp или ListName.
2. Злоумышленник заставляет вошедшего в систему пользователя eScan Management Console (например, администратора) перейти по ссылке — через фишинговое письмо, социальную инженерию или атаку типа watering-hole.
3. Сервер консоли отражает полезную нагрузку обратно в HTTP-ответе.
4. Браузер жертвы выполняет внедрённый скрипт в контексте origin eScan Management Console.

Пример полезной нагрузки

http://<target>/ewconsole.dll?...&Dtltyp=<script>alert(document.cookie)</script>&ListName=<script>alert(1)</script>

Форма с URL-кодированием (как она выглядит в реальном HTTP-запросе):

http://<target>/ewconsole.dll?...&Dtltyp=%3Cscript%3Ealert%28document.cookie%29%3C%2Fscript%3E&ListName=%3Cscript%3Ealert%281%29%3C%2Fscript%3E

Примечание: Точная структура URL зависит от вашей целевой установки. Замените <target> на IP-адрес или имя хоста сервера eScan Management Console.

Доказательство концепции

Шаг 1 — Войдите и перейдите к уязвимой функции

Войдите в eScan Management Console с действительными учётными данными и перейдите в User Activity → File Activity Report.

Шаг 2 — Перехватите запрос

Используйте HTTP-прокси для перехвата (например, Burp Suite), чтобы захватить GET-запрос, отправляемый при загрузке страницы отчёта.

Шаг 3 — Внедрите XSS-полезную нагрузку

Измените захваченный запрос, внедрив XSS-полезную нагрузку в параметры Dtltyp и/или ListName, затем отправьте запрос на сервер.

Шаг 4 — Наблюдайте выполнение кода

После отправки запроса внедрённый скрипт выполняется в браузере. На скриншоте ниже показано всплывающее окно, вызванное полезной нагрузкой. Эту нагрузку можно изменить для кражи сессионного cookie жертвы или выполнения других вредоносных действий.

Воздействие

Устранение

Microworld Technologies следует устранить эту уязвимость, внедрив следующие меры:

1. Кодирование вывода: Все управляемые пользователем значения, отражаемые в HTML-ответах, должны быть экранированы (контекстно-зависимое кодирование вывода) перед вставкой в тело ответа. Используйте проверенную библиотеку кодирования, а не ручную замену строк.
2. Проверка входных данных: Отклоняйте или очищайте ввод, не соответствующий ожидаемому формату для параметров Dtltyp и ListName (например, разрешите только допустимые значения из белого списка).
3. Политика безопасности контента (CSP): Разверните строгий HTTP-заголовок Content-Security-Policy, чтобы ограничить источники, из которых могут загружаться скрипты, и заблокировать выполнение встроенных скриптов.
4. Флаги HttpOnly и Secure для cookie: Пометьте все сессионные cookie флагами HttpOnly и Secure, чтобы снизить последствия любых будущих XSS-уязвимостей.
5. Регулярные аудиты безопасности: Проводите периодические тесты на проникновение и ревизии кода веб-консоли управления, чтобы выявлять и устранять подобные проблемы на раннем этапе.

Ссылки

• NVD — CVE-2023-34836
• MITRE CVE Record
• OWASP: Cross-Site Scripting (XSS)
• OWASP: XSS Prevention Cheat Sheet
• Microworld Technologies eScan

Отказ от ответственности

Данное доказательство концепции публикуется только в образовательных целях и для исследований в области безопасности. Эксплуатация уязвимостей на системах без явного письменного разрешения является незаконной и неэтичной. Автор не несёт ответственности за любое неправомерное использование предоставленной здесь информации.