CVE-2018-7690

SSC REST API содержит уязвимости небезопасных прямых ссылок на объекты (Insecure Direct Object Reference, IDOR), которые позволяют аутентифицированным пользователям получать доступ к произвольным данным локальных пользователей и пользователей LDAP через метод POST, а также к произвольным данным проектов Fortify других пользователей через метод GET.

Публикация Exploit-DB: https://www.exploit-db.com/exploits/45989

Публикация PacketStorm: https://packetstormsecurity.com/files/150770/Fortify-SSC-17.10-17.20-18.10-Project-Insecure-Direct-Object-Reference.html

Хронология

================
2018-05-24: Обнаружено
2018-05-25: Повторное тестирование PRO-среды
2018-05-31: Уведомление вендора, обнаружены две проблемы
2018-05-31: Получена обратная связь от вендора
2018-06-01: Внутренняя коммуникация
2018-06-01: Обратная связь вендора: две проблемы подтверждены
2018-06-05: Уведомление вендора, обнаружена новая проблема
2018-06-06: Обратная связь вендора: оценка заявки High
2018-06-08: Обратная связь вендора: проблема High подтверждена
2018-06-19: Исследователь: отправлено напоминание
2018-06-22: Обратная связь вендора: сводка по CVE обработана официально
2018-06-26: Обратная связь вендора: официальный Hotfix для проблемы High доступен для тестирования
2018-06-29: Обратная связь исследователя
2018-07-02: Обратная связь исследователя
2018-07-04: Обратная связь исследователя: Hotfix протестирован в QA-среде
2018-07-05: Обратная связь вендора: исправления запланированы на август/сентябрь 2018
2018-08-02: Напоминание вендору, получен ответ OK!
2018-09-26: Напоминание вендору, получен ответ OK!
2018-09-26: Исправления получены от вендора
2018-10-02: Внутренняя QA-среда вышла из строя, пересборка окружения исследователя
2018-10-11: Внутренняя QA-среда вышла из строя, пересборка окружения исследователя
2018-10-11: Обратная связь от вендора: технические детали предоставлены исследователю
2018-10-16: Исправления теперь протестированы в QA-среде
2018-11-08: Получено напоминание от вендора, обратная связь предоставлена исследователем
2018-11-09: Повторная проверка исправлений в QA-среде
2018-11-15: Повторная проверка исправлений в QA-среде теперь с развёрнутой версией SSC 18.20
2018-11-21: Обратная связь исследователя
2018-11-23: Исправления работают хорошо / подтверждено исследователем
2018-11-23: Обратная связь вендора: окончательные детали для раскрытия CVE, официальные исправления доступны клиентам.
2018-11-26: Обратная связь вендора: CVE и официальные исправления будут раскрыты
2018-11-26: Договорённости с вендором о публикации CVE/Advisory.
2018-12-12: Публичный отчёт

Патч Microfocus (Fortify Product) и благодарности:

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03298201

Автор

Alex Hernandez, он же (@_alt3kx_)

Мой текущий список эксплойтов @exploit-db:
https://www.exploit-db.com/author/?a=1074
https://www.exploit-db.com/author/?a=9576

CVE-2018-7690 с классными скриншотами здесь: https://medium.com/@alt3kx