GLPI 11.0.10 и 10.0.28 закрывают повышение привилегий и межсайтовый скриптинг

В GLPI исправлены несколько уязвимостей в проверке прав доступа и обработке внешних ссылок. Затронуты установки без свежих релизов. Сотрудник с ограниченными полномочиями может получить больше прав, чем ему разрешено, и удалить чужую учётную запись. Ещё одна уязвимость запускает чужой код в браузере того, кто откроет подготовленную ссылку.

Повышение привилегий через клонирование пользователя

Сводный бюллетень безопасности объединяет эти уведомления и относит их к разным частям GLPI. Клонирование пользователей затрагивает версии начиная с 9.5.0, то есть очень широкий круг установок. Поэтому обновление нужно и тем, кто годами не трогал систему. Уровень опасности разработчики оценивают как высокий. Кроме того, об эксплуатации в реальных атаках уведомления ничего не сообщают.

Клонирование даёт сотруднику с правами техника копию чужой учётной записи вместе с её полномочиями. После этого он задаёт новой записи собственные учётные данные и работает под ними. В результате вход идёт с расширенными правами. Так техник получает полномочия администратора и доступ к закрытым разделам. Особая подготовка не нужна, хотя без учётной записи техника сценарий не работает.

Также уязвимость работает по сети и не требует участия второго человека. Начальные права обязательны. Внешнему злоумышленнику сначала нужны действующие учётные данные техника. Зато сотрудник службы поддержки проходит этот путь без подготовки. Выборочная проверка учётных записей, созданных клонированием, помогает заметить такой вход в систему.

Другая уязвимость связана с удалением учётных записей. Сотрудник с правами техника может удалить пользователя, у которого полномочий больше, чем у него самого. Однако проверка старшинства ролей здесь не срабатывает. Случай описан в уведомлении GHSA-5pgp-cfq7-4j9h. Кроме того, атака идёт по сети и требует действующей учётной записи техника.

Последствия касаются целостности данных, а не их конфиденциальности. Удалить можно учётную запись администратора, без которой настройка системы заметно усложняется. Восстановление ложится на резервные копии. Из-за этого инцидент способен надолго остановить работу службы поддержки. Особенно если администратор был в системе один и замены ему нет.

Ещё одна уязвимость касается виджета с результатами поиска на панели мониторинга. Злоумышленник готовит ссылку с вредоносной нагрузкой и отправляет её сотруднику. Когда сотрудник открывает её, в браузере выполняется чужой код. Такой приём называют межсайтовым скриптингом. Зато учётные данные для срабатывания не нужны.

Последствия этой уязвимости описаны в уведомлении GHSA-47mc-679g-2jrv. Скрипт работает в браузере жертвы и действует от её имени, пока открыта страница. Однако уязвимость затрагивает только ветку 11.0. Релизов 10.0 она не касается, поэтому там закрыты не все описанные случаи. При планировании обновления это стоит учесть.

Для обеих веток исправления вышли в релизах 10.0.28 и 11.0.10. Одно уведомление в описании называет другие релизы, а именно 10.0.27 и 11.0.9. В полях с исправленными версиями и в сводном бюллетене указаны 10.0.28 и 11.0.10. При этом CVE этим уязвимостям не присвоены. Обходных мер в уведомлениях не предложено, помогает только установка патча.

После установки патча техник не сможет выдать себе чужие полномочия через клонирование. Проверка прав при удалении тоже начнёт работать. Тем не менее ролевая модель остаётся прежней, менять настройки не нужно. До этого риск снижает строгий контроль учётных записей с ролью техника и их регулярный пересмотр. Полностью закрыть уязвимость это не может.

Клонирование описано в уведомлении GHSA-c46f-4v9j-5gpc, опубликованном 2 ноября 2026 года. Исправления для обеих веток уже опубликованы. Поэтому обновление можно планировать на ближайшее окно обслуживания. Специальных обходных настроек для этого не требуется, достаточно установить релиз. Откладывать установку надолго не стоит.

Повышение привилегий через клонирование пользователя

Ссылки