CVE-2018-7690

SSC REST API에는 IDOR(Insecure Direct Object Reference) 취약점이 포함되어 있어 인증된 사용자가 POST 메소드를 통해 로컬 및 LDAP 사용자의 세부 정보와 GET 메소드를 통해 다른 사용자의 Fortify 프로젝트 세부 정보에 접근할 수 있습니다.

Exploit-DB 게시: https://www.exploit-db.com/exploits/45989

PacketStorm 게시: https://packetstormsecurity.com/files/150770/Fortify-SSC-17.10-17.20-18.10-Project-Insecure-Direct-Object-Reference.html

타임라인

================
2018-05-24: 발견됨
2018-05-25: PRO 환경 재테스트
2018-05-31: 공급업체 통지, 두 가지 문제 발견
2018-05-31: 공급업체 피드백 수신
2018-06-01: 내부 커뮤니케이션
2018-06-01: 공급업체 피드백, 두 가지 문제 확인됨
2018-06-05: 공급업체 통지, 새로운 문제 발견
2018-06-06: 공급업체 피드백, 상위 제출 평가 중
2018-06-08: 공급업체 피드백, 상위 문제 확인됨
2018-06-19: 연구원, 알림 전송
2018-06-22: 공급업체 피드백, CVE 공식 처리 방식 요약
2018-06-26: 공급업체 피드백, 상위 문제에 대한 공식 핫픽스 테스트 가능
2018-06-29: 연구원 피드백
2018-07-02: 연구원 피드백
2018-07-04: 연구원 피드백, QA 환경에서 핫픽스 테스트
2018-07-05: 공급업체 피드백, 수정 일정 2018년 8월/9월
2018-08-02: 공급업체에 알림, 피드백 수신 완료!
2018-09-26: 공급업체에 알림, 피드백 수신 완료!
2018-09-26: 공급업체로부터 수정 사항 수신
2018-10-02: 내부 QA 환경 실패, 연구원 생태계 재구축
2018-10-11: 내부 QA 환경 실패, 연구원 생태계 재구축
2018-10-11: 공급업체 피드백, 연구원에게 기술 세부 정보 제공
2018-10-16: 수정 사항, 이제 QA 환경에서 테스트 완료
2018-11-08: 공급업체로부터 알림 수신, 연구원이 피드백 제공
2018-11-09: QA 환경에서 수정 사항 재테스트
2018-11-15: SSC 18.20 버전 배포 후 QA 환경에서 수정 사항 재테스트
2018-11-21: 연구원 피드백
2018-11-23: 수정 사항 정상 작동/연구원 확인
2018-11-23: 공급업체 피드백, CVE 공개 및 고객용 공식 수정 사항 최종 세부 정보
2018-11-26: 공급업체 피드백, CVE 및 공식 수정 사항 공개 예정
2018-11-26: CVE/권고 게시를 위한 공급업체와의 합의
2018-12-12: 공개 보고서

Microfocus(Fortify 제품) 패치 및 크레딧:

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03298201

작성자

Alex Hernandez 일명 (@_alt3kx_)

현재 exploit-db 내 익스플로잇 목록:
https://www.exploit-db.com/author/?a=1074
https://www.exploit-db.com/author/?a=9576

멋진 스크린샷과 함께 보는 CVE-2018-7690: https://medium.com/@alt3kx