Podatności GLPI

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. W wersjach od 11.0.0 do 11.0.2 (przed 11.0.3) nieuwierzytelniony użytkownik może przeprowadzić atak SQL injection przez endpoint inwentaryzacji. Luka została naprawiona w wersji 11.0.3.

GLPI przed wersjami 10.0.21 i 11.0.3 umożliwia nieautoryzowanemu użytkownikowi dostęp do dokumentów GLPI przypisanych do dowolnego elementu (zgłoszenia, zasobu itp.). Jeśli publiczna FAQ jest włączona, dostęp ten może być wykonany przez anonimowego użytkownika. Poprawka znajduje się w wersjach 10.0.21 i 11.0.3.

GLPI w wersjach przed 9.1.5.1 zawiera podatność na wstrzykiwanie SQL w polu reguły warunkowej, którą można wykorzystać poprzez front/rulesengine.test.php.

Podatność typu Cross-Site Request Forgery (CSRF) w GLPI 0.90.4 umożliwia zdalnym, uwierzytelnionym atakującym wysłanie żądania, które może prowadzić do utworzenia konta administratora w aplikacji.

Wielokrotne podatności na wstrzykiwanie SQL w GLPI 0.90.4 umożliwiają uwierzytelnionemu zdalnemu atakującemu wykonanie dowolnych poleceń SQL przy użyciu określonego znaku, gdy baza danych jest skonfigurowana do używania kodowania Big5.

W GLPI przed wersją 0.85.3 występuje podatność na nieograniczone przesyłanie plików, która pozwala zdalnym uwierzytelnionym użytkownikom na wykonanie dowolnego kodu poprzez dodanie pliku z rozszerzeniem wykonywalnym jako załącznika do nowego zgłoszenia.

Podatność na przejście katalogu w pliku inc/autoload.function.php w GLPI przed wersją 0.84.8 umożliwia zdalnym atakującym dołączanie i wykonywanie dowolnych lokalnych plików poprzez użycie sekwencji .._ (kropka kropka podkreślnik) w typie elementu przekazywanym do funkcji getItemForItemtype.

Wielokrotne podatności na wstrzykiwanie SQL w GLPI przed wersją 0.83.9 umożliwiają zdalnym atakującym wykonywanie dowolnych poleceń SQL poprzez różne parametry w aplikacji.

W GLPI od wersji 11.0.0 do 11.0.8 administrator formularzy może użyć importu formularza ze spreparowanym identyfikatorem ilustracji lub sceny, który wychodzi poza zamierzony katalog zasobów niestandardowych. Zaimportowany plik może zostać zapisany w wykonywalnej lokalizacji serwera, umożliwiając zdalne wywołanie złośliwego skryptu.

GLPI w wersjach przed 9.1.5.1 zawiera podatność na wstrzykiwanie SQL w zmiennej $crit w pliku inc/computer_softwareversion.class.php, która może być wykorzystana przez ajax/common.tabs.php.

GLPI w wersjach przed 9.1.5 jest podatny na atak typu SQL injection poprzez żądanie ajax/getDropdownValue.php z parametrem entity_restrict, który nie jest listą liczb całkowitych.

GLPI do wersji 12.0.0 zawiera podatność braku autoryzacji w pliku ajax/map.php, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach wyszukiwać typy elementów, których nie mogą wyświetlać, poprzez pominięcie sprawdzenia canView(). Atakujący mogą przesyłać spreparowane kryteria wyszukiwania dla typów takich jak Contact, Supplier, Contract i Budget, aby uzyskać liczby dopasowań, tytuły i współrzędne w obrębie swoich encji.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.85 do 10.0.26 i 11.0.8, uwierzytelniony użytkownik z niskimi uprawnieniami może tworzyć, aktualizować lub usuwać komentarze i tłumaczenia bazy wiedzy bez wymaganej autoryzacji dla danego zasobu. Problem został naprawiony w wersjach 11.0.8 i 10.0.26.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 11.0.6 do 11.0.8 uwierzytelniony technik może zapisać aktywny znacznik w polach witryny dostawcy. Każdy użytkownik, który otworzy listę dostawców dotkniętego elementu, uruchomi zapisany ładunek cross-site scripting. Problem naprawiono w wersji 11.0.8.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 9.4.0 do 10.0.26 oraz 11.0.8 atakujący z prawem READ do logów może spreparować URL zakładki historii, który wstrzykuje kontrolowane przez atakującego wartości do zapytania do bazy danych. Umożliwia to wstrzyknięcie SQL przez endpoint zakładki historii. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.84 do 10.0.26 i 11.0.8, administrator posiadający uprawnienia Update auth i sync lub Update auth, sync i 2FA może zmienić metodę uwierzytelniania i wyłączyć dwuskładnikowe uwierzytelnianie dla kont użytkowników spoza zakresu jednostki administratora. Proces administrowania kontami nie egzekwował spójnie uprawnień aktualizacji dla docelowego użytkownika. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 11.0.0 do 11.0.8, uwierzytelniony użytkownik z niskimi uprawnieniami może używać nowego API (v2) do wykonywania operacji aktualizacji, które normalnie są zabronione dla tego użytkownika w interfejsie użytkownika. Proces aktualizacji przez API nie egzekwuje spójnie odpowiednich kontroli autoryzacji. Problem naprawiono w wersji 11.0.8.

GLPI to darmowy pakiet oprogramowania do zarządzania zasobami i IT. Od wersji 11.0.5 do 11.0.8, w pewnych warunkach logika uprawnień może przyznać dostęp do dokumentu bez potwierdzenia, że dokument jest powiązany z docelowym elementem. Użytkownik może użyć niepowiązanego elementu, do którego ma uprawnienia, aby odczytać dokument powiązany z niedostępnym elementem. Problem naprawiono w wersji 11.0.8.

W GLPI technik może manipulować wartością authtype przez API, aby zmienić metodę uwierzytelniania innego użytkownika. W konfiguracjach korzystających ze starego interfejsu REST API lub logowania SSO pozwala to zmienić metodę uwierzytelniania superadministratora i przejąć jego konto. Podatność naprawiono w wersjach 11.0.8 i 10.0.26.

W GLPI atakujący może spreparować adres URL pulpitu nawigacyjnego, który odzwierciedla kontrolowany przez atakującego kod bez wystarczającego kodowania wyjściowego. Użytkownik otwierający taki adres URL uruchamia odbity cross-site scripting w pulpicie. Podatność naprawiono w wersji 11.0.8.

W GLPI punkt końcowy weryfikacji haseł jednorazowych opartych na czasie nie ogranicza liczby nieudanych prób na użytkownika. Atakujący, który zdobył podstawowe dane uwierzytelniające użytkownika, może wielokrotnie przesyłać wartości TOTP w procesie weryfikacji MFA, co umożliwia brute-force drugiego czynnika i przejęcie konta. Podatność naprawiono w wersji 11.0.8.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.70 do 10.0.26 i 11.0.8, uwierzytelniony hotliner lub technik może przesłać spreparowane kryteria przez funkcję importu użytkowników, aby ominąć skonfigurowany domyślny filtr LDAP. Pozwala to na dostęp do obiektów LDAP, które domyślny filtr miał wykluczać. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

W GLPI każdy zalogowany użytkownik może wykorzystać niewystarczającą walidację ścieżki w procesie aktualizacji zdjęcia profilowego, aby zażądać usunięcia wybranego przez atakującego pliku hostowanego na serwerze. Podatność naprawiono w wersjach 11.0.8 i 10.0.26.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Od wersji 0.72 do 10.0.26 i 11.0.8, uwierzytelniony użytkownik bez wymaganych uprawnień może włączyć tryb debugowania. Aktualizacja ustawień użytkownika nie egzekwuje granicy uprawnień mającej ograniczać aktywację trybu debugowania. Problem naprawiono w wersjach 11.0.8 i 10.0.26.

W systemie GLPI w wersjach 11.0.5, 11.0.6 i 11.0.7 wykryto podatność w komponencie Document Handler. Funkcja Document::canViewFile w pliku front/document.send.php nieprawidłowo weryfikuje argument docid, co umożliwia ominięcie autoryzacji. Atak może być przeprowadzony zdalnie, ale jest trudny do wykorzystania ze względu na wysoką złożoność.

GLPI to darmowe oprogramowanie do zarządzania aktywami IT. Począwszy od wersji 0.78 do 10.0.25 i 11.0.7, uwierzytelniony użytkownik z uprawnieniami do odczytu konfiguracji może odczytać konkretny obiekt zasobu.

GLPI od wersji 10.0.4 do 10.0.24 umożliwia technikowi przechowywanie ładunku XSS w zakładce zablokowanego zasobu. Ładunek wykonuje się, gdy administrator przegląda tę zakładkę.

GLPI, oprogramowanie do zarządzania aktywami IT, w wersjach od 0.50 do 10.0.24 i 11.0.6 pozwala technikowi na odczyt dowolnych plików w katalogu GLPI_DOC_DIR. Problem został naprawiony w wersjach 10.0.25 i 11.0.7.

Podatność w GLPI (wersje od 9.5.0 do 10.0.24 i 11.0.6) umożliwia użytkownikom z niskimi uprawnieniami, mającym dostęp do planowania, usunięcie dowolnego obiektu w systemie.

W systemie GLPI (oprogramowanie do zarządzania IT) od wersji 0.78 do 10.0.24 i 11.0.6, technik może usuwać dowolne pliki z systemu plików, jeśli serwer WWW ma do nich prawa zapisu.

GLPI w wersjach od 11.0.0 do 11.0.6 umożliwia technikowi przechowywanie ładunku XSS w kosztach ITIL. Podatność została naprawiona w wersji 11.0.7.

Nieuwierzytelniony użytkownik z prawem zapisu do bazy wiedzy może przechowywać ładunek XSS w elemencie bazy wiedzy w GLPI przed wersją 11.0.7.

GLPI (oprogramowanie do zarządzania IT i aktywami) w wersjach od 11.0.0 do 11.0.6 zawiera podatność, która pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do odczytu formularzy na eksport struktury nieautoryzowanych formularzy.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Począwszy od wersji 9.1.0 do 10.0.21, nieautoryzowany użytkownik z dostępem API może czytać wszystkie wpisy bazy wiedzy. Użytkownicy powinni zaktualizować do wersji 10.0.21, aby otrzymać poprawkę.

GLPI, oprogramowanie do zarządzania zasobami IT, w wersjach od 10.0.0 do 10.0.20, umożliwia niezalogowanemu użytkownikowi przechowywanie ładunku XSS poprzez endpoint inwentaryzacji.

GLPI to darmowe oprogramowanie do zarządzania zasobami IT, które zawiera podatność na wstrzykiwanie SQL w panelu administracyjnym dashboardów. Administrator może wywołać tę podatność, co może prowadzić do nieautoryzowanego dostępu do danych.

GLPI to darmowe oprogramowanie do zarządzania aktywami i IT. W wersjach od 9.5.0 do przed 10.0.8 występuje błąd w sprawdzaniu uprawnień do pliku, który pozwala nieautoryzowanemu użytkownikowi na dostęp do danych pulpitów.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. W wersjach od 9.5.0 do przed 10.0.8 występuje nieprawidłowa kontrola uprawnień na pliku dostępnym dla uwierzytelnionego użytkownika, co pozwala atakującemu na interakcję, modyfikację lub przeglądanie danych Dashboard.

GLPI to darmowe oprogramowanie do zarządzania aktywami i IT. W wersjach od 9.4.0 do przed 10.0.8, złośliwy link może być stworzony przez nieautoryzowanego użytkownika, co prowadzi do wykorzystania podatności XSS, jeśli jakikolwiek użytkownik zalogowany otworzy ten link.

GLPI to darmowe oprogramowanie do zarządzania zasobami i IT. Wersje od 9.2.0 do przed 10.0.8 mają błędne sprawdzanie uprawnień na pliku dostępnym dla uwierzytelnionego użytkownika, co pozwala na dostęp do widoku wszystkich elementów bazy wiedzy.

GLPI to darmowe oprogramowanie do zarządzania aktywami i IT. Wersje od 0.68 do przed 10.0.8 mają błędne sprawdzanie uprawnień na pliku dostępnym dla uwierzytelnionego użytkownika, co umożliwia dostęp do listy wszystkich użytkowników i ich danych osobowych.