alt3kx/cve-2018-12463XML external entity (XXE) vulnerability in /ssc/fm-ws/services in Fortify Software Security Center (SSC) 17.10, 17.20 & 18.10 (0day CVE-2018-12463)
Vulnérabilité d'injection XML externe (XXE) dans /ssc/fm-ws/services de Fortify Software Security Center (SSC) 17.10, 17.20 et 18.10 permettant à des utilisateurs distants non authentifiés de lire des fichiers arbitraires ou de mener des attaques de type server-side request forgery (SSRF) via un DTD malveillant dans une requête XML.
Publication sur Exploit-DB : https://www.exploit-db.com/exploits/45027/
Publication sur PacketStorm : https://packetstormsecurity.com/files/148539/Fortify-SSC-17.10-17.20-18.10-XXE-Injection.html
================
2018-05-24 : Découverte
2018-05-25 : Nouveau test sur environnement PRO
2018-05-31 : Notification au fournisseur, deux problèmes trouvés
2018-05-31 : Retour du fournisseur reçu
2018-06-01 : Communication interne
2018-06-01 : Retour du fournisseur, deux problèmes confirmés
2018-06-05 : Notification au fournisseur, nouveau problème trouvé
2018-06-06 : Retour du fournisseur, évaluation de la soumission High
2018-06-08 : Retour du fournisseur, problème High confirmé
2018-06-19 : Chercheur, rappel envoyé
2018-06-22 : Retour du fournisseur, résumé des CVE traitées officiellement
2018-06-26 : Retour du fournisseur, correctif officiel pour le problème High disponible pour test
2018-06-29 : Retour du chercheur
2018-07-02 : Retour du chercheur
2018-07-04 : Retour du chercheur, correctif testé sur environnement QA
2018-07-05 : Retour du fournisseur
2018-07-09 : Retour du fournisseur, détails finaux pour la divulgation du CVE et correctif officiel disponible pour les clients
2018-07-09 : Retour du fournisseur, divulgation du CVE et du correctif officiel
2018-07-12 : Accords avec le fournisseur pour publier le CVE/l'avis.
2018-07-12 : Rapport public
https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03201563
Alex Hernandez alias (@_alt3kx_)
Ma liste actuelle d'exploits sur exploit-db : https://www.exploit-db.com/author/?a=1074
CVE-2018-12463 avec écrans explicites ici : https://medium.com/@alt3kx
