CVE-2018-7690

A API REST do SSC contém vulnerabilidades de Referência Direta Insegura a Objeto (IDOR) que permitem que usuários autenticados acessem detalhes arbitrários dos usuários locais e LDAP por meio do método POST e detalhes arbitrários dos projetos Fortify de outros usuários por meio do método GET.

Publicação do Exploit-DB em https://www.exploit-db.com/exploits/45989

Publicação do PacketStorm em https://packetstormsecurity.com/files/150770/Fortify-SSC-17.10-17.20-18.10-Project-Insecure-Direct-Object-Reference.html

Cronologia

================
2018-05-24: Descoberto
2018-05-25: Reteste no ambiente PRO
2018-05-31: Notificação ao fornecedor, dois problemas encontrados
2018-05-31: Feedback do fornecedor recebido
2018-06-01: Comunicação interna
2018-06-01: Feedback do fornecedor, dois problemas são confirmados
2018-06-05: Notificação ao fornecedor, novo problema encontrado
2018-06-06: Feedback do fornecedor, avaliando submissão High
2018-06-08: Feedback do fornecedor, problema High confirmado
2018-06-19: Pesquisador, lembrete enviado
2018-06-22: Feedback do fornecedor, resumo dos CVEs tratados de forma oficial
2018-06-26: Feedback do fornecedor, Hotfix oficial para o problema High disponível para teste
2018-06-29: Feedback do pesquisador
2018-07-02: Feedback do pesquisador
2018-07-04: Feedback do pesquisador, Hotfix testado no ambiente de QA
2018-07-05: Feedback do fornecedor, correções agendadas para ago/set 2018
2018-08-02: Lembrete ao fornecedor, feedback recebido OK!
2018-09-26: Lembrete ao fornecedor, feedback recebido OK!
2018-09-26: Correções recebidas do fornecedor
2018-10-02: Ambiente de QA interno falhou, reconstruindo o ecossistema do pesquisador 2018-10-11: Ambiente de QA interno falhou, reconstruindo o ecossistema do pesquisador 2018-10-11: Feedback do fornecedor, detalhes técnicos fornecidos ao pesquisador 2018-10-16: Correções agora testadas no ambiente de QA 2018-11-08: Lembrete recebido do fornecedor, feedback fornecido pelo pesquisador 2018-11-09: Re-teste das correções no ambiente de QA 2018-11-15: Re-teste das correções no ambiente de QA agora com a versão SSC 18.20 implantada 2018-11-21: Feedback do pesquisador 2018-11-23: Correções funcionando bem/confirmadas pelo pesquisador 2018-11-23: Feedback do fornecedor, detalhes finais para divulgar o CVE e correções oficiais disponíveis para clientes. 2018-11-26: Feedback do fornecedor, CVE e correções oficiais a serem divulgados 2018-11-26: Acordos com o fornecedor para publicar o CVE/Advisory. 2018-12-12: Relatório público