CVE-2023-34838 — Сохранённый XSS в eScan Management Console

Обзор

Консоль управления eScan от Microworld Technologies версии 14.0.1400.2281 уязвима к атаке с использованием сохранённого межсайтового скриптинга (XSS). Аутентифицированный злоумышленник, имеющий доступ к функции управления ролями, может внедрить вредоносный скрипт в поле Description новой роли. Полезная нагрузка сохраняется в базе данных приложения и выполняется в браузере любого пользователя, который впоследствии просматривает затронутую страницу — включая привилегированных администраторов.

Поскольку внедрённый скрипт выполняется в контексте аутентифицированной сессии жертвы, злоумышленник может использовать эту уязвимость для кражи куки-сессий, выполнения действий от имени жертвы, перенаправления пользователей на фишинговые страницы или повышения привилегий в консоли управления.

Детали уязвимости

Затронутое программное обеспечение

• Продукт: eScan Management Console
• Вендор: Microworld Technologies
• Домашняя страница вендора: https://www.escanav.com
• Загрузка ПО: https://cl.escanav.com/ewconsole.dll
• Подтверждённая уязвимая версия: 14.0.1400.2281

eScan Management Console — это централизованное решение для управления безопасностью конечных точек, используемое предприятиями для управления политиками антивируса, управления исправлениями, контроля устройств и ролей пользователей в корпоративной сети. Его веб-интерфейс обычно развёртывается во внутренней сети и доступен на порту 10443.

Технический анализ

Первопричина

Приложение не санирует и не кодирует предоставленные пользователем данные в поле Description формы New Role перед сохранением в базе данных и отображением пользователям. При рендеринге страницы списка ролей (RoleMainPage) несанированная полезная нагрузка записывается непосредственно в HTML-ответ, в результате чего браузер разбирает и выполняет внедрённый скрипт.

Вектор атаки

1. Злоумышленник с действительной (возможно, с низкими привилегиями) учётной записью создаёт новую роль.
2. Он внедряет специально сформированную XSS-полезную нагрузку в поле Description — например:
   root@kitploit:~

   "><script>alert(1)</script>
   

3. Полезная нагрузка сохраняется на бэкенде без санации.
4. Когда администратор или любой другой пользователь просматривает страницу Roles, сохранённый скрипт доставляется как часть страницы и автоматически выполняется в их браузере.

Воздействие

Доказательство концепции

Шаг 1 — Внедрение полезной нагрузки

Войдите в консоль управления eScan и перейдите на страницу New Role. Замените <TARGET_IP> на фактический IP-адрес консоли (например, 192.168.1.1):

http://<TARGET_IP>:10443/ewconsole/ewconsole.dll/NewRole

Заполните New Role Name любым значением (например, test) и вставьте XSS-полезную нагрузку в поле Description:

"><script>alert(1)</script>

Выберите любую группу из списка и нажмите Ok, чтобы сохранить роль.

Шаг 2 — Выполнение полезной нагрузки на странице списка ролей

После сохранения роли приложение перенаправляет на Role Main Page (/ewconsole/ewconsole.dll/RoleMainPage). Поскольку значение поля Description отражается обратно без санации, внедрённый тег <script> выполняется немедленно, вызывая диалоговое окно alert в браузере.

В реальной атаке вызов alert(1) был бы заменён на полезную нагрузку для экфильтрации куки-сессии жертвы (например, document.cookie) на сервер, контролируемый злоумышленником.

Смягчение и устранение

Microworld Technologies следует применить следующие исправления:

1. Кодирование вывода — HTML-кодировать все данные, контролируемые пользователем, перед их отображением в браузере. Использовать соответствующее контекстно-зависимое кодирование (кодирование HTML-сущностей для HTML-контекстов, кодирование JavaScript для контекстов скриптов).
2. Проверка входных данных — Отклонять или удалять HTML-теги и специальные символы (<, >, ", ', ;) из полей, которые не требуют форматированного текста.
3. Политика безопасности контента (CSP) — Внедрить строгий HTTP-заголовок ответа Content-Security-Policy, чтобы ограничить выполнение встроенных скриптов.
4. Флаги HttpOnly и Secure для куки — Установить флаг HttpOnly для куки-сессий, чтобы предотвратить доступ к ним из JavaScript, снижая воздействие любого успешного XSS. Кроме того, установить флаг Secure, чтобы гарантировать передачу куки-сессий только по HTTPS, предотвращая перехват по незашифрованным соединениям.
5. Обновление — Применить последние исправления безопасности от вендора. Пользователям следует обновиться до исправленной версии eScan Management Console, как только она станет доступна.

Ссылки

• NVD – CVE-2023-34838
• Запись CVE от MITRE
• CWE-79: Отсутствие нейтрализации входных данных при генерации веб-страницы
• OWASP: Межсайтовый скриптинг (XSS)
• Microworld Technologies – eScan

Автор

Sahil Ojha — Исследователь безопасности
Обнаружено и сообщено: 23 июня 2023

Отказ от ответственности

Этот репозиторий опубликован только в образовательных и информационных целях. Предоставленная здесь информация и код доказательства концепции предназначены для помощи специалистам по безопасности в понимании природы уязвимости, чтобы её можно было исправить и защититься от неё. Автор не одобряет использование этой информации для несанкционированных или незаконных действий. Всегда получайте соответствующее письменное разрешение перед тестированием любой системы, которая вам не принадлежит.