CVE-2018-12463

La vulnerabilità XML external entity (XXE) nel percorso /ssc/fm-ws/services di Fortify Software Security Center (SSC) 17.10, 17.20 e 18.10 consente a utenti remoti non autenticati di leggere file arbitrari o di condurre attacchi di server-side request forgery (SSRF) tramite un DTD appositamente predisposto in una richiesta XML..

Pubblicazione Exploit-DB su https://www.exploit-db.com/exploits/45027/
Pubblicazione PacketStorm su https://packetstormsecurity.com/files/148539/Fortify-SSC-17.10-17.20-18.10-XXE-Injection.html

Cronologia

================
2018-05-24: Scoperta
2018-05-25: Nuovo test sull'ambiente PRO
2018-05-31: Notifica al vendor, due problemi trovati
2018-05-31: Ricevuto feedback dal vendor
2018-06-01: Comunicazione interna
2018-06-01: Feedback del vendor, due problemi confermati
2018-06-05: Notifica al vendor, trovato un nuovo problema
2018-06-06: Feedback del vendor, valutazione della segnalazione High
2018-06-08: Feedback del vendor, problema High confermato
2018-06-19: Ricercatore, inviato sollecito
2018-06-22: Feedback del vendor, riepilogo dei CVE gestiti in modo ufficiale
2018-06-26: Feedback del vendor, Hotfix ufficiale per il problema High disponibile per il test
2018-06-29: Feedback del ricercatore
2018-07-02: Feedback del ricercatore
2018-07-04: Feedback del ricercatore, Hotfix testato sull'ambiente di QA
2018-07-05: Feedback del vendor
2018-07-09: Feedback del vendor, dettagli finali per divulgare la CVE e Hotfix ufficiale disponibile per i clienti
2018-07-09: Feedback del vendor, CVE e Hotfix ufficiale da divulgare
2018-07-12: Accordi con il vendor per pubblicare la CVE/Advisory.
2018-07-12: Report pubblico

Patch e crediti Microfocus (prodotto Fortify):

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03201563

Autore

Alex Hernandez alias (@_alt3kx_)
La mia lista attuale di exploit su @exploit-db: https://www.exploit-db.com/author/?a=1074
CVE-2018-12463 con screenshot sexy qui: https://medium.com/@alt3kx