CVE-2018-7690

L'API REST di SSC contiene vulnerabilità di Insecure Direct Object Reference (IDOR) che consentono agli utenti autenticati di accedere a dettagli arbitrari degli utenti Local e LDAP tramite il metodo POST e a dettagli arbitrari dei progetti Fortify di altri utenti tramite il metodo GET.

Pubblicazione su Exploit-DB all'indirizzo https://www.exploit-db.com/exploits/45989

Pubblicazione su PacketStorm all'indirizzo https://packetstormsecurity.com/files/150770/Fortify-SSC-17.10-17.20-18.10-Project-Insecure-Direct-Object-Reference.html

Cronologia

================
2018-05-24: Scoperto
2018-05-25: Nuovo test sull'ambiente PRO
2018-05-31: Notifica al fornitore, riscontrati due problemi
2018-05-31: Ricevuto feedback dal fornitore
2018-06-01: Comunicazione interna
2018-06-01: Feedback del fornitore, due problemi confermati
2018-06-05: Notifica al fornitore, nuovo problema trovato
2018-06-06: Feedback del fornitore, valutazione dell'invio come Alto
2018-06-08: Feedback del fornitore, problema Alto confermato
2018-06-19: Ricercatore, promemoria inviato
2018-06-22: Feedback del fornitore, riepilogo dei CVE gestiti come metodo ufficiale
2018-06-26: Feedback del fornitore, Hotfix ufficiale per il problema Alto disponibile per il test
2018-06-29: Feedback del ricercatore
2018-07-02: Feedback del ricercatore
2018-07-04: Feedback del ricercatore, Hotfix testato sull'ambiente QA
2018-07-05: Feedback del fornitore, fix pianificati per agosto/settembre 2018
2018-08-02: Promemoria al fornitore, feedback ricevuto OK!
2018-09-26: Promemoria al fornitore, feedback ricevuto OK!
2018-09-26: Fix ricevuti dal fornitore
2018-10-02: Ambiente QA interno fallito, ricostruzione dell'ecosistema del ricercatore
2018-10-11: Ambiente QA interno fallito, ricostruzione dell'ecosistema del ricercatore
2018-10-11: Feedback del fornitore, dettagli tecnici forniti al ricercatore
2018-10-16: Fix ora testati sull'ambiente QA
2018-11-08: Promemoria ricevuto dal fornitore, feedback fornito dal ricercatore
2018-11-09: Nuovo test dei fix sull'ambiente QA
2018-11-15: Nuovo test dei fix sull'ambiente QA ora con la versione SSC 18.20 installata
2018-11-21: Feedback del ricercatore
2018-11-23: Fix funzionanti correttamente/confermati dal ricercatore
2018-11-23: Feedback del fornitore, dettagli finali per la divulgazione del CVE e fix ufficiali disponibili per i clienti.
2018-11-26: Feedback del fornitore, CVE e fix ufficiali da divulgare
2018-11-26: Accordi con il fornitore per pubblicare il CVE/Advisory.
2018-12-12: Report pubblico

Patch e crediti Microfocus (Prodotto Fortify):

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03298201

Autore

Alex Hernandez aka (@_alt3kx_)

La mia lista attuale di exploit @exploit-db:
https://www.exploit-db.com/author/?a=1074
https://www.exploit-db.com/author/?a=9576

CVE-2018-7690 con schermate sexy qui: https://medium.com/@alt3kx