CVE-2018-12463

Fortify Software Security Center (SSC) 17.10、17.20、および 18.10 の /ssc/fm-ws/services には、XML 外部実体 (XXE) の脆弱性が存在し、リモートの未認証ユーザーが任意のファイルを読み取ったり、細工された DTD を含む XML リクエストを介してサーバーサイドリクエストフォージェリ (SSRF) 攻撃を実行したりできます。

Exploit-DB 公開情報: https://www.exploit-db.com/exploits/45027/
PacketStorm 公開情報: https://packetstormsecurity.com/files/148539/Fortify-SSC-17.10-17.20-18.10-XXE-Injection.html

タイムライン

================
2018-05-24: 発見
2018-05-25: PRO 環境を再テスト
2018-05-31: ベンダー通知、2 件の問題を発見
2018-05-31: ベンダーからのフィードバックを受領
2018-06-01: 内部連絡
2018-06-01: ベンダーからのフィードバック、2 件の問題が確認された
2018-06-05: ベンダー通知、新しい問題を発見
2018-06-06: ベンダーからのフィードバック、High 提出を評価中
2018-06-08: ベンダーからのフィードバック、High 問題が確認された
2018-06-19: 研究者にリマインダーを送信
2018-06-22: ベンダーからのフィードバック、公式ルートで処理した CVE の概要
2018-06-26: ベンダーからのフィードバック、High 問題向けの公式ホットフィックスをテスト可能に
2018-06-29: 研究者からのフィードバック
2018-07-02: 研究者からのフィードバック
2018-07-04: 研究者からのフィードバック、QA 環境でホットフィックスをテスト
2018-07-05: ベンダーからのフィードバック
2018-07-09: ベンダーからのフィードバック、CVE 開示と顧客向け公式ホットフィックス提供に関する最終詳細
2018-07-09: ベンダーからのフィードバック、CVE と公式ホットフィックスの開示予定
2018-07-12: CVE/アドバイザリ公開に関するベンダーとの合意
2018-07-12: 公開レポート

Microfocus (Fortify 製品) パッチとクレジット:

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03201563