CVE-2018-7691

Die SSC REST API enthält Schwachstellen bezüglich Insecure Direct Object Reference (IDOR), die authentifizierten Benutzern Zugriff auf beliebige Details der lokalen und LDAP-Benutzer über die POST-Methode und auf beliebige Details der Fortify-Projekte anderer Benutzer über die GET-Methode ermöglichen.

Exploit-DB-Veröffentlichung unter https://www.exploit-db.com/exploits/45990

PacketStorm-Veröffentlichung unter https://packetstormsecurity.com/files/150771/Fortify-SSC-17.10-17.20-18.10-User-Detail-Insecure-Direct-Object-Reference.html

Zeitleiste

================
2018-05-24: Entdeckt
2018-05-25: Erneuter Test der PRO-Umgebung
2018-05-31: Hersteller benachrichtigt, zwei Probleme gefunden
2018-05-31: Rückmeldung des Herstellers erhalten
2018-06-01: Interne Kommunikation
2018-06-01: Rückmeldung des Herstellers, zwei Probleme bestätigt
2018-06-05: Hersteller benachrichtigt, neues Problem gefunden
2018-06-06: Rückmeldung des Herstellers, Bewertung der High-Einreichung
2018-06-08: Rückmeldung des Herstellers, High-Problem bestätigt
2018-06-19: Forscher, Erinnerung gesendet
2018-06-22: Rückmeldung des Herstellers, Zusammenfassung der CVEs offiziell behandelt
2018-06-26: Rückmeldung des Herstellers, offizieller Hotfix für das High-Problem zum Testen verfügbar
2018-06-29: Rückmeldung des Forschers
2018-07-02: Rückmeldung des Forschers
2018-07-04: Rückmeldung des Forschers, Hotfix in der QA-Umgebung getestet
2018-07-05: Rückmeldung des Herstellers, Fixes für Aug/Sep 2018 geplant
2018-08-02: Erinnerung an den Hersteller, Rückmeldung erhalten OK!
2018-09-26: Erinnerung an den Hersteller, Rückmeldung erhalten OK!
2018-09-26: Fixes vom Hersteller erhalten
2018-10-02: Interne QA-Umgebung fehlgeschlagen, Ökosystem des Forschers wird neu aufgebaut
2018-10-11: Interne QA-Umgebung fehlgeschlagen, Ökosystem des Forschers wird neu aufgebaut
2018-10-11: Rückmeldung vom Hersteller, technische Details an den Forscher übermittelt
2018-10-16: Fixes jetzt in der QA-Umgebung getestet
2018-11-08: Erinnerung vom Hersteller erhalten, Rückmeldung durch den Forscher
2018-11-09: Fixes erneut in der QA-Umgebung getestet
2018-11-15: Fixes erneut in der QA-Umgebung getestet, jetzt mit bereitgestellter SSC-Version 18.20
2018-11-21: Rückmeldung des Forschers
2018-11-23: Fixes funktionieren gut/vom Forscher bestätigt
2018-11-23: Rückmeldung des Herstellers, endgültige Details zur Offenlegung des CVE und offizielle Fixes für Kunden verfügbar.
2018-11-26: Rückmeldung des Herstellers, CVE und offizielle Fixes werden offengelegt
2018-11-26: Vereinbarungen mit dem Hersteller zur Veröffentlichung des CVE/Advisory.
2018-12-12: Öffentlicher Bericht

Microfocus (Fortify-Produkt) Patch und Danksagungen:

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03298201

Autor

Alex Hernandez aka (@_alt3kx_)

Meine aktuelle Exploit-Liste @exploit-db:
https://www.exploit-db.com/author/?a=1074
https://www.exploit-db.com/author/?a=9576

CVE-2018-7691 mit coolen Screenshots hier: https://medium.com/@alt3kx