CVE-2018-12463

Vulnerabilidade de entidade externa XML (XXE) em /ssc/fm-ws/services no Fortify Software Security Center (SSC) 17.10, 17.20 e 18.10 permite que usuários remotos não autenticados leiam arquivos arbitrários ou realizem ataques de falsificação de solicitação do lado do servidor (SSRF) através de um DTD malicioso em uma solicitação XML.

Publicação no Exploit-DB em https://www.exploit-db.com/exploits/45027/
Publicação no PacketStorm em https://packetstormsecurity.com/files/148539/Fortify-SSC-17.10-17.20-18.10-XXE-Injection.html

Timeline

================
2018-05-24: Descoberto
2018-05-25: Reteste no ambiente PRO
2018-05-31: Notificação ao fornecedor, duas vulnerabilidades encontradas
2018-05-31: Feedback do fornecedor recebido
2018-06-01: Comunicação interna
2018-06-01: Feedback do fornecedor, duas vulnerabilidades confirmadas
2018-06-05: Notificação ao fornecedor, nova vulnerabilidade encontrada
2018-06-06: Feedback do fornecedor, avaliando submissão de alta gravidade
2018-06-08: Feedback do fornecedor, vulnerabilidade de alta confirmada
2018-06-19: Pesquisador, lembrete enviado
2018-06-22: Feedback do fornecedor, resumo de CVEs tratados de forma oficial
2018-06-26: Feedback do fornecedor, Hotfix oficial para vulnerabilidade de alta disponível para teste
2018-06-29: Feedback do pesquisador
2018-07-02: Feedback do pesquisador
2018-07-04: Feedback do pesquisador, Hotfix testado no ambiente de QA
2018-07-05: Feedback do fornecedor
2018-07-09: Feedback do fornecedor, detalhes finais para divulgação do CVE e Hotfix oficial disponível para clientes
2018-07-09: Feedback do fornecedor, CVE e Hotfix oficial a serem divulgados
2018-07-12: Acordos com o fornecedor para publicar o CVE/Advisory.
2018-07-12: Relatório público