GLPI: Rechteausweitung beim Klonen von Benutzerkonten ermöglicht authentifizierten Benutzern, Super-Admin-Konten zu erstellen (CVE-2026-121559)

Was passiert ist

GLPI 10.0.0 bis vor 10.0.28 und 11.0.0 bis vor 11.0.10 enthalten eine Schwachstelle zur Rechteausweitung beim Klonen von Benutzern (CWE-269). Ein authentifizierter Benutzer mit dem Technician-Profil kann ein Super-Admin-Konto unter einem neuen Anmeldenamen und Passwort klonen. User::getCloneRelations() kopiert jede Profile_User- und Group_User-Zuweisung ohne Berechtigungsprüfungen, sodass das neue Konto das Super-Admin-Profil behält. Das Ergebnis ist ein vom Angreifer kontrolliertes Super-Admin-Konto.

Der CVSS-4.0-Vektor bewertet die Schwachstelle mit 8,6 (hoch). Die Schwachstelle ist über das Netzwerk erreichbar, weist eine geringe Angriffskomplexität auf, erfordert keine Benutzerinteraktion und setzt hohe Privilegien voraus. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit des GLPI-Systems sind hoch; nachgelagerte Systeme sind nicht betroffen. SSVC verzeichnet keine beobachtete Ausnutzung und bewertet die technischen Auswirkungen als vollständig. Der CVE-Eintrag meldet keine Ausnutzung in freier Wildbahn.

Wer betroffen ist

Betroffen sind GLPI 10.0.0 bis vor 10.0.28 und 11.0.0 bis vor 11.0.10. GLPI ist eine Open-Source-Plattform für IT-Asset-Management und Service Desk, die häufig intern betrieben oder für Support-Teams erreichbar gemacht wird. Wenn Sie Benutzern das Technician-Profil einräumen, ist der betroffene Code in diesen Versionen vorhanden. Der CVE-Eintrag beschreibt keine weiteren betroffenen Produkte oder Konfigurationen.

Was jetzt zu tun ist

1. Führen Sie ein Upgrade auf eine korrigierte Version durch: GLPI 10.0.28 für Installationen von 10.0.0 bis vor 10.0.28 oder GLPI 11.0.10 für Installationen von 11.0.0 bis vor 11.0.10. Die Korrektur ist in diesen Versionen enthalten.
2. Wenn ein sofortiges Upgrade nicht möglich ist, überprüfen Sie die Konten und schränken Sie die Profilzuweisungen ein – insbesondere, wer über Technician- und Super-Admin-Rechte verfügt. Der CVE-Eintrag nennt keine gesonderte Problemumgehung.
3. Durchsuchen Sie die GLPI-Benutzerverwaltung nach kürzlich angelegten Konten mit Super-Admin-Profil. Entfernen oder deaktivieren Sie alle Konten, die sich keiner autorisierten Bereitstellung zuordnen lassen.

Wie man es erkennt

Überprüfen Sie die GLPI-Benutzerverwaltung auf neue Konten mit Super-Admin-Rechten, insbesondere Konten, die von Technician-Benutzern oder außerhalb des normalen On-/Offboarding-Prozesses erstellt wurden. Da die Schwachstelle Profil- und Gruppenzuweisungen klont, zeigt eine ausgenutzte Instanz ein neues privilegiertes Konto anstelle geänderter Berechtigungen eines bestehenden Kontos.

Über den Patch hinaus

Über das Einspielen von Sicherheitsupdates hinaus sollten Sie dies als Problem der Kontoberechtigungen behandeln: Ein Angreifer hat ein bestehendes Konto mit hohen Rechten genutzt, um eine neue Super-Admin-Identität anzulegen. Das Angebot Managed Detection & Response ist relevant, weil Rechteausweitungen und ungewöhnliche Kontoerstellungen Spuren in EDR- und SIEM-Systemen hinterlassen, die erkannt werden können. Wenn Ihre GLPI-Plattform für Partner oder Kunden erreichbar ist, können Implementierungs- und Bewertungsleistungen die Bereitstellung testen und Rollenzuweisungen überprüfen, bevor es zu Missbrauch kommt.