CVE-2018-7691

La API REST de SSC contiene vulnerabilidades de Referencia Directa a Objetos Inseguros (IDOR) que permiten a usuarios autenticados acceder a detalles arbitrarios de los usuarios locales y LDAP mediante el método POST, y a detalles arbitrarios de los proyectos de Fortify de otros usuarios mediante el método GET.

Publicación en Exploit-DB en https://www.exploit-db.com/exploits/45990

Publicación en PacketStorm en https://packetstormsecurity.com/files/150771/Fortify-SSC-17.10-17.20-18.10-User-Detail-Insecure-Direct-Object-Reference.html

Cronología

================
2018-05-24: Descubierto
2018-05-25: Reprobar entorno de producción
2018-05-31: Notificación al proveedor, dos problemas encontrados
2018-05-31: Retroalimentación del proveedor recibida
2018-06-01: Comunicación interna
2018-06-01: Retroalimentación del proveedor, dos problemas confirmados
2018-06-05: Notificación al proveedor, nuevo problema encontrado
2018-06-06: Retroalimentación del proveedor, evaluando envío Alto
2018-06-08: Retroalimentación del proveedor, problema Alto confirmado
2018-06-19: Investigador, recordatorio enviado
2018-06-22: Retroalimentación del proveedor, resumen de CVEs manejados de forma oficial
2018-06-26: Retroalimentación del proveedor, Hotfix oficial para problema Alto disponible para prueba
2018-06-29: Retroalimentación del investigador
2018-07-02: Retroalimentación del investigador
2018-07-04: Retroalimentación del investigador, Hotfix probado en entorno de QA
2018-07-05: Retroalimentación del proveedor, correcciones programadas Ago/Sep 2018
2018-08-02: Recordatorio al proveedor, retroalimentación recibida ¡OK!
2018-09-26: Recordatorio al proveedor, retroalimentación recibida ¡OK!
2018-09-26: Correcciones recibidas del proveedor
2018-10-02: Entorno interno de QA falló, reconstruyendo ecosistema del investigador
2018-10-11: Entorno interno de QA falló, reconstruyendo ecosistema del investigador
2018-10-11: Retroalimentación del proveedor, detalles técnicos proporcionados al investigador
2018-10-16: Correcciones ahora probadas en entorno de QA
2018-11-08: Recordatorio recibido del proveedor, retroalimentación proporcionada por el investigador
2018-11-09: Re-prueba de correcciones en entorno de QA
2018-11-15: Re-prueba de correcciones en entorno de QA ahora con versión SSC 18.20 desplegada
2018-11-21: Retroalimentación del investigador
2018-11-23: Correcciones funcionando bien/confirmadas por el investigador
2018-11-23: Retroalimentación del proveedor, detalles finales para divulgación del CVE y correcciones oficiales disponibles para clientes.
2018-11-26: Retroalimentación del proveedor, CVE y correcciones oficiales a divulgar
2018-11-26: Acuerdos con el proveedor para publicar el CVE/Advertencia.
2018-12-12: Informe público

Parche y créditos de Microfocus (Producto Fortify):

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03298201

Autor

Alex Hernandez alias (@_alt3kx_)

Mi lista actual de exploits en @exploit-db:
https://www.exploit-db.com/author/?a=1074
https://www.exploit-db.com/author/?a=9576

CVE-2018-7691 con capturas de pantalla atractivas aquí: https://medium.com/@alt3kx