Обход многофакторной аутентификации и внедрение SQL-кода затрагивают GLPI 10.0 и 11.0

Несколько уязвимостей в GLPI позволяют обойти многофакторную аутентификацию, внедрить SQL-код в запросы к базе данных и выполнить свой файл на сервере. GLPI - система учёта заявок и ИТ-активов, её применяют службы технической поддержки. Затронуты установки ветки 11.0, а также ветка 10.0 и более ранние выпуски.

Что вошло в исправления GLPI 11.0.9 и 10.0.27

GLPI оценил все проблемы уровнем High и не привёл числовых значений CVSS. Условия атаки разные: одна проблема доступна без учётной записи, другие требуют прав сотрудника, третьи зависят от настроек веб-сервера. Уведомления вышли 26 октября 2026 года.

Внедрение SQL-кода без учётной записи

В функции планирования внешний пользователь может провести атаку на основе задержек. Такой приём позволяет по времени ответа сервера читать содержимое базы данных. При этом атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Затронута ветка 11.0 начиная с выпуска 11.0.8; исправление - 11.0.9.

Обход проверки личности

Токен сброса пароля - одноразовая ссылка для восстановления доступа. Тот, кто её перехватит, войдёт в GLPI под нужным пользователем без второго фактора. Условие здесь - кража токена; как именно его получают, уведомление не уточняет. Исправление - 11.0.9.

Отдельная проблема касается входа по сертификатам X.509, которые подтверждают личность пользователя. Если веб-сервер проверяет клиентские сертификаты небезопасно, атакующий подпишет сертификат сам и выдаст себя за сотрудника. Атака локальная, учётные данные не нужны, но нужна уязвимая настройка сервера. Обходная мера - перевести Apache в режим SSLVerifyClient optional или required вместо optional_no_ca. Исправления - 10.0.27 и 11.0.9.

Межсайтовый скриптинг в заявках и активах

Межсайтовый скриптинг - запись чужого кода в страницу, который затем выполняется в браузере коллег. В участниках заявки такой код сохраняет любой пользователь с учётной записью. Срабатывает он у всех, кто откроет заявку. В именах активов код записывает техник, а срабатывает он на вкладке используемых предметов у привязанного сотрудника. Оба случая требуют учётной записи в GLPI.

Установка плагинов и загрузка файлов

Состояние гонки - ситуация, когда итог зависит от порядка двух операций. Администратор GLPI может поймать такой момент при установке плагина из маркетплейса и подложить архив с вредоносным PHP-скриптом. Скрипт затем исполняется на сервере. Отдельно пользователь с правом создавать активы загружает файлы в любой каталог, куда пишет веб-сервер. Набор типов ограничен настройками, но HTML-страницу загрузить можно, а её применяют для поддельных страниц входа.

Исправления вышли в выпусках 11.0.9 и 10.0.27. Для ветки 11.0 обновление закрывает все перечисленные проблемы. На 10.0 нужен выпуск 10.0.27: он закрывает вход по сертификатам, состояние гонки в маркетплейсе и загрузку файлов.

Кроме того, в уведомлении о межсайтовом скриптинге в участниках заявок исправлением названы 10.0.27 и 11.0.9, хотя затронутой указана только ветка 11.0. Это расхождение внутри документа; до следующего обновления статус этой проблемы для ветки 10.0 остаётся неясным.

Идентификаторы CVE проблемам не присвоены. Данных об эксплуатации в реальных атаках уведомления не содержат: публикация означает раскрытие деталей, а не подтверждённые случаи компрометации.

Обновить установки нужно до 11.0.9 или 10.0.27, более старые выпуски остаются уязвимыми. Если обновление отложено, единственная официальная обходная мера касается входа по сертификатам - настройка Apache, указанная выше. Для остальных проблем обходных мер GLPI не называет.

Без учётных данных по сети работает только внедрение SQL-кода в функции планирования, и лишь на ветке 11.0. Остальные проблемы требуют прав сотрудника, перехваченного токена или особой настройки веб-сервера.