CVE-2018-7691

L'API REST di SSC contiene vulnerabilità di Insecure Direct Object Reference (IDOR) che consentono agli utenti autenticati di accedere a dettagli arbitrari degli utenti Local e LDAP tramite il metodo POST e a dettagli arbitrari dei progetti Fortify di altri utenti tramite il metodo GET.

Pubblicazione su Exploit-DB all'indirizzo https://www.exploit-db.com/exploits/45990

Pubblicazione su PacketStorm all'indirizzo https://packetstormsecurity.com/files/150771/Fortify-SSC-17.10-17.20-18.10-User-Detail-Insecure-Direct-Object-Reference.html

Timeline

================
2018-05-24: Scoperto
2018-05-25: Ritest dell'ambiente PRO
2018-05-31: Notifica al vendor, trovati due problemi
2018-05-31: Ricevuto feedback del vendor
2018-06-01: Comunicazione interna
2018-06-01: Feedback del vendor, due problemi confermati
2018-06-05: Notifica al vendor, trovato nuovo problema
2018-06-06: Feedback del vendor, valutazione invio High
2018-06-08: Feedback del vendor, problema High confermato
2018-06-19: Ricercatore, inviato promemoria
2018-06-22: Feedback del vendor, riepilogo dei CVE gestiti in modo ufficiale
2018-06-26: Feedback del vendor, Hotfix ufficiale per il problema High disponibile per il test
2018-06-29: Feedback del ricercatore
2018-07-02: Feedback del ricercatore
2018-07-04: Feedback del ricercatore, Hotfix testato sull'ambiente QA
2018-07-05: Feedback del vendor, correzioni pianificate per Ago/Sep 2018
2018-08-02: Promemoria al vendor, feedback ricevuto OK!
2018-09-26: Promemoria al vendor, feedback ricevuto OK!
2018-09-26: Correzioni ricevute dal vendor
2018-10-02: Ambiente QA interno fallito, ricostruzione dell'ecosistema del ricercatore
2018-10-11: Ambiente QA interno fallito, ricostruzione dell'ecosistema del ricercatore
2018-10-11: Feedback dal vendor, dettagli tecnici forniti al ricercatore
2018-10-16: Correzioni ora testate sull'ambiente QA
2018-11-08: Promemoria ricevuto dal vendor, feedback fornito dal ricercatore
2018-11-09: Nuovo test delle correzioni sull'ambiente QA
2018-11-15: Nuovo test delle correzioni sull'ambiente QA ora con versione SSC 18.20 distribuita
2018-11-21: Feedback del ricercatore
2018-11-23: Correzioni funzionano bene/confermate dal ricercatore
2018-11-23: Feedback del vendor, dettagli finali per divulgare il CVE e correzioni ufficiali disponibili per i clienti.
2018-11-26: Feedback del vendor, CVE e correzioni ufficiali da divulgare
2018-11-26: Accordi con il vendor per pubblicare il CVE/Advisory.
2018-12-12: Report pubblico

Microfocus (Fortify Product) Patch e crediti:

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03298201

Autore

Alex Hernandez alias (@_alt3kx_)

La mia attuale lista di exploit su @exploit-db:
https://www.exploit-db.com/author/?a=1074
https://www.exploit-db.com/author/?a=9576

CVE-2018-7691 con screenshot interessanti qui: https://medium.com/@alt3kx