CVE-2018-12463

Fortify Software Security Center (SSC) 17.10、17.20 和 18.10 中的 /ssc/fm-ws/services 存在 XML 外部实体 (XXE) 漏洞，允许远程未认证用户通过 XML 请求中精心构造的 DTD 读取任意文件或发起服务器端请求伪造 (SSRF) 攻击。

Exploit-DB 发布信息：https://www.exploit-db.com/exploits/45027/
PacketStorm 发布信息：https://packetstormsecurity.com/files/148539/Fortify-SSC-17.10-17.20-18.10-XXE-Injection.html

时间线

================
2018-05-24: 发现
2018-05-25: 在 PRO 环境重测
2018-05-31: 通知厂商，发现两个问题
2018-05-31: 收到厂商反馈
2018-06-01: 内部沟通
2018-06-01: 厂商反馈，两个问题已确认
2018-06-05: 通知厂商，发现新问题
2018-06-06: 厂商反馈，评估高危提交
2018-06-08: 厂商反馈，高危问题已确认
2018-06-19: 研究人员，提醒已发送
2018-06-22: 厂商反馈，以官方方式处理的 CVE 摘要
2018-06-26: 厂商反馈，高危问题的官方热修复可供测试
2018-06-29: 研究人员反馈
2018-07-02: 研究人员反馈
2018-07-04: 研究人员反馈，已在 QA 环境测试热修复
2018-07-05: 厂商反馈
2018-07-09: 厂商反馈，披露 CVE 及向客户提供官方热修复的最终细节
2018-07-09: 厂商反馈，CVE 与官方热修复将公布
2018-07-12: 与厂商达成发布 CVE/公告的协议。
2018-07-12: 公开报告

Microfocus（Fortify 产品）补丁与致谢：

https://softwaresupport.softwaregrp.com/document/-/facetsearch/document/KM03201563

作者

Alex Hernandez，又名 (@_alt3kx_)
我在 @exploit-db 的当前漏洞利用列表：https://www.exploit-db.com/author/?a=1074
CVE-2018-12463 及其精美截图见：https://medium.com/@alt3kx