CVE-2018-7690

La API REST de SSC contiene vulnerabilidades de Referencia Insegura Directa a Objetos (IDOR) que permiten a usuarios autenticados acceder a detalles arbitrarios de los usuarios locales y LDAP mediante el método POST y a detalles arbitrarios de los proyectos Fortify de otros usuarios mediante el método GET.

Publicación de Exploit-DB en https://www.exploit-db.com/exploits/45989

Publicación de PacketStorm en https://packetstormsecurity.com/files/150770/Fortify-SSC-17.10-17.20-18.10-Project-Insecure-Direct-Object-Reference.html

Cronología

================
2018-05-24: Descubierto
2018-05-25: Re-prueba del entorno PRO
2018-05-31: Notificación al proveedor, dos problemas encontrados
2018-05-31: Comentarios del proveedor recibidos
2018-06-01: Comunicación interna
2018-06-01: Comentarios del proveedor, dos problemas confirmados
2018-06-05: Notificación al proveedor, nuevo problema encontrado
2018-06-06: Comentarios del proveedor, evaluando el envío de severidad High
2018-06-08: Comentarios del proveedor, problema High confirmado
2018-06-19: Investigador, recordatorio enviado
2018-06-22: Comentarios del proveedor, resumen de CVEs gestionados de forma oficial
2018-06-26: Comentarios del proveedor, Hotfix oficial para el problema High disponible para pruebas
2018-06-29: Comentarios del investigador
2018-07-02: Comentarios del investigador
2018-07-04: Comentarios del investigador, Hotfix probado en el entorno de QA
2018-07-05: Comentarios del proveedor, correcciones programadas para ago./sep. 2018
2018-08-02: Recordatorio al proveedor, comentarios recibidos OK!
2018-09-26: Recordatorio al proveedor, comentarios recibidos OK!
2018-09-26: Correcciones recibidas del proveedor 2018-10-02: El entorno interno de QA falló, reconstruyendo el ecosistema del investigador 2018-10-11: El entorno interno de QA falló, reconstruyendo el ecosistema del investigador 2018-10-11: Comentarios del proveedor, detalles técnicos proporcionados al investigador 2018-10-16: Correcciones ahora probadas en el entorno de QA 2018-11-08: Recordatorio recibido del proveedor, comentarios proporcionados por el investigador 2018-11-09: Re-test de correcciones en el entorno de QA 2018-11-15: Re-test de correcciones en el entorno de QA ahora con la versión SSC 18.20 desplegada 2018-11-21: Comentarios del investigador 2018-11-23: Correcciones funcionando correctamente/confirmadas por el investigador 2018-11-23: Comentarios del proveedor, detalles finales para divulgar el CVE y correcciones oficiales disponibles para los clientes. 2018-11-26: Comentarios del proveedor, CVE y correcciones oficiales por divulgar 2018-11-26: Acuerdos con el proveedor para publicar el CVE/Advisory. 2018-12-12: Informe público