GLPI-MFA-Umgehung ermöglicht nicht authentifizierten Benutzern, die Einmalpasswort-Prüfung zu überspringen (CVE-2026-52848)

Was passiert ist

GLPI ist ein Open-Source-Softwarepaket für IT-Asset- und Service-Management. Diese Schwachstelle betrifft den Anmeldeablauf. Von Version 11.0.0 bis ausschließlich 11.0.8 kann ein Angreifer, der die GLPI-Anmeldeseite über das Netzwerk erreicht, eine URL so konstruieren, dass nach der ersten Anmeldedatenprüfung der Schritt zur Eingabe des Einmalpassworts übersprungen wird. Dadurch wird ein Konto mit Zwei-Faktor-Authentifizierung faktisch auf einen einzelnen Faktor reduziert: Wer bereits über das Passwort des Kontos verfügt, benötigt den zweiten Faktor nicht mehr.

Der CVSS-4.0-Wert liegt bei 9,2 (kritisch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit der GLPI-Instanz. Der Vektor weist auf einen Angriff über das Netzwerk, geringe Angriffskomplexität, keine erforderlichen Berechtigungen und keine Benutzerinteraktion hin; Angriffsanforderungen sind vorhanden. Die zugrunde liegende Schwäche ist CWE-288, eine Authentifizierungsumgehung über einen alternativen Pfad oder Kanal. Die Quellen dieser Schwachstellen-Warnung melden keine aktive Ausnutzung und keine öffentliche Offenlegung.

Wer betroffen ist

Betroffen sind GLPI-Versionen 11.0.0 bis ausschließlich 11.0.8. GLPI wird häufig für IT-Asset-Management, Helpdesk- und Service-Desk-Funktionen eingesetzt und kann intern bereitgestellt oder über ein Portal erreichbar sein. Das praktische Risiko ist am höchsten, wenn die Anmeldeseite aus dem Internet oder einem großen internen Netzwerk erreichbar ist und wenn schwache, wiederverwendete oder durch Phishing offengelegte Passwörter im Einsatz sind. Denn die Schwachstelle hebt den Schutz auf, den der zweite Faktor sonst bieten würde.

Was jetzt zu tun ist

1. Prüfen Sie, ob Ihre Bereitstellung im betroffenen Bereich liegt: GLPI 11.0.0 bis ausschließlich 11.0.8. Erfassen Sie außerdem Konten, die auf MFA angewiesen sind.
2. Schränken Sie den Zugriff auf die GLPI-Weboberfläche ein. Wenn sie nicht aus dem Internet erreichbar sein muss, setzen Sie sie hinter ein VPN oder beschränken Sie sie auf bekannte Verwaltungsnetze.
3. Behandeln Sie die betroffene Instanz so, als sei MFA für die darauf vorhandenen Konten nicht durchgesetzt. Setzen Sie die Passwörter von Konten zurück, die möglicherweise betroffen sind, und prüfen Sie die jüngsten erfolgreichen Anmeldungen auf ungewöhnliche Aktivitäten.
4. Verfolgen Sie die öffentlichen Sicherheitshinweise und Versionshinweise von GLPI im Hinblick auf eine Wartungsversion. In den Daten dieser Schwachstellen-Warnung ist derzeit keine verfügbare Korrektur verzeichnet.

Über den Patch hinaus

Diese Schwachstelle ist bedeutsam, weil MFA nur so stark ist wie der Anmeldepfad, der sie durchsetzt. Wenn Ihre GLPI-Instanz über das lokale Netzwerk hinaus erreichbar ist, können Sie mit Virtual CISO Services exponierte Verwaltungsschnittstellen identifizieren und die externe Angriffsfläche verringern. Für Teams, die in ihrer Systemlandschaft auf Open-Source-Komponenten wie GLPI angewiesen sind, hilft Lieferkettenschutz und Drittanbieterrisiko dabei, die Software, von der Sie abhängig sind, und die Patch-Zyklen zu verfolgen, die bestimmen, wie lange Ihre Umgebung angreifbar ist.