CVE-2019-19550

---

[Описание]

Удалённый обход аутентификации в Senior Rubiweb 6.2.34.28 и 6.2.34.37 позволяет администратору получить доступ к конфиденциальной информации затронутых пользователей, использующих уязвимые версии. Атакующему достаточно указать правильный URL.

---

[Важные даты]

• Уведомление (производителю): 2019-12-02
• Дата публичного раскрытия: 2020-01-30

---

[Тип уязвимости]

Некорректный контроль доступа

---

[Производитель продукта]

Senior

---

[Затронутая кодовая база продукта]

• Rubiweb - 6.2.34.37
• Rubiweb - 6.2.34.28
• Другие версии могут быть затронуты, особенно из того же семейства (пока не протестировано)

---

[Затронутый компонент]

Rubiweb

---

[Тип атаки]

Удалённая

---

[Влияние: раскрытие информации]

Да

---

[Векторы атаки]

Доступ к конфиденциальной информации доступен публично без особых требований (достаточно правильного URI)

---

[Подтвердил ли производитель уязвимость?]

Да

---

[PoC - доказательство концепции]

1. Просто попробуйте подключиться к аутентифицированному порталу, чтобы подтвердить наличие и версию затронутого продукта:
   • hXXp://subdomain.customer.tld:8080/rubiweb/
2. Получите доступ к уязвимой странице (администратор без аутентификации):
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=EXESENHA&SIS=FP&LOGINKIND=1
   • hXXp://subdomain.customer.tld:8080/rubiweb/conector?ACAO=ENTRANCEREL&SIS=FP&NOME=FPIN103.ANU

---

[Исследователь]

Mauricio Santos (R&D UnderProtection) и Hesron Hori (R&D UnderProtection) и @redteambrasil

---

[Благодарности]

Senior - команда информационной безопасности производителя, которая сотрудничала в скоординированном раскрытии

---

[Ссылка]

• https://www.underprotection.com.br
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm
• https://documentacao.senior.com.br/tecnologia/6.2.34/index.htm#central-de-configuracao/CfgWebApplicationsForm.htm%23CfgWebApplicationsForm_edtUserName