CVE-2018-7690

SSC REST API には、認証されたユーザーが POST メソッドを介してローカルおよび LDAP ユーザーの任意の詳細にアクセスし、GET メソッドを介して他のユーザーの Fortify プロジェクトの任意の詳細にアクセスできるようにする、安全でない直接オブジェクト参照 (IDOR) の脆弱性が含まれています。

Exploit-DB 公開: https://www.exploit-db.com/exploits/45989

PacketStorm 公開: https://packetstormsecurity.com/files/150770/Fortify-SSC-17.10-17.20-18.10-Project-Insecure-Direct-Object-Reference.html

タイムライン

================
2018-05-24: 発見
2018-05-25: PRO 環境で再テスト
2018-05-31: ベンダー通知、2 件の問題を発見
2018-05-31: ベンダーからのフィードバック受領
2018-06-01: 内部連絡
2018-06-01: ベンダーフィードバック、2 件の問題が確認される
2018-06-05: ベンダー通知、新たな問題を発見
2018-06-06: ベンダーフィードバック、High 提出の評価中
2018-06-08: ベンダーフィードバック、High 問題が確認される
2018-06-19: 研究者、リマインダー送信
2018-06-22: ベンダーフィードバック、公式の方法で処理された CVE の概要
2018-06-26: ベンダーフィードバック、High 問題の公式ホットフィックスがテスト可能
2018-06-29: 研究者フィードバック
2018-07-02: 研究者フィードバック
2018-07-04: 研究者フィードバック、QA 環境でホットフィックステスト
2018-07-05: ベンダーフィードバック、修正は 2018 年 8 月/9 月に予定
2018-08-02: ベンダーへのリマインダー、フィードバック受領 OK!
2018-09-26: ベンダーへのリマインダー、フィードバック受領 OK!
2018-09-26: ベンダーから修正受領
2018-10-02: 内部 QA 環境が失敗、研究者のエコシステムを再構築
2018-10-11: 内部 QA 環境が失敗、研究者のエコシステムを再構築
2018-10-11: ベンダーからのフィードバック、研究者に技術詳細提供
2018-10-16: 修正を QA 環境でテスト
2018-11-08: ベンダーからリマインダー受領、研究者がフィードバック提供
2018-11-09: QA 環境で修正を再テスト
2018-11-15: QA 環境で修正を再テスト、SSC 18.20 バージョンがデプロイ済み
2018-11-21: 研究者フィードバック
2018-11-23: 修正が正常に動作し、研究者が確認
2018-11-23: ベンダーフィードバック、CVE 開示と顧客向け公式修正の最終詳細
2018-11-26: ベンダーフィードバック、CVE および公式修正の開示予定
2018-11-26: CVE/勧告公開に関するベンダーとの合意
2018-12-12: 公開レポート

Microfocus (Fortify Product) パッチとクレジット: