GLPI 11.0.10 und 10.0.28 beheben mehrere als hoch eingestufte Sicherheitslücken

Was passiert ist

Das GLPI-Projekt hat acht Sicherheitshinweise zu Schwachstellen hoher und mittlerer Schwere veröffentlicht. GHSA-47mc-679g-2jrv beschreibt eine reflektierte Cross-Site-Scripting-Schwachstelle im Widget für Suchergebnisse im Dashboard: Ein Angreifer kann eine URL erstellen, die ein Skript enthält. Öffnet ein angemeldeter GLPI-Benutzer diese URL, wird das Skript im Browser des Benutzers ausgeführt. GHSA-j5vx-jrmw-2498 ermöglicht es anonymen Angreifern, über die Planungsfunktion GLPI-Benutzernamen zu ermitteln.

Mehrere Schwachstellen setzen eine Authentifizierung voraus und ermöglichen es Benutzern, ihre Rechte zu überschreiten. GHSA-3w48-r8r5-mf8c ermöglicht es jedem angemeldeten Benutzer, eine URL so zu gestalten, dass nicht autorisierte Massenaktionen ausgeführt werden, darunter das Aktivieren, Deaktivieren oder Deinstallieren bereits im Dateisystem vorhandener Plugins. GHSA-pjj6-ww22-86qh ist eine SQL-Injection über das Dropdown für Akteure in Formularen. Sie steht allen angemeldeten Benutzern offen, die Zugriff auf ein Formular mit einem solchen Dropdown für Akteure haben. GHSA-c46f-4v9j-5gpc ermöglicht es einem Techniker, einen Benutzer zu klonen und ein Konto mit weitergehenden Rechten anzulegen, als der Techniker selbst besitzt. GHSA-mhhg-77qx-qf26 ermöglicht es einem Techniker, die Zwei-Faktor-Authentifizierung eines Benutzers mit höheren Rechten zu deaktivieren oder die Kontrolle darüber zu übernehmen. GHSA-5pgp-cfq7-4j9h ermöglicht es einem Techniker, das Konto eines Benutzers mit weitergehenden Rechten zu löschen. GHSA-5fw5-vgrw-ggp5 ermöglicht es Technikern, Ereignisinhalte außerhalb ihres Entitätsbereichs zu lesen.

Keiner der Sicherheitshinweise meldet eine aktive Ausnutzung oder eine öffentliche Offenlegung.

Wer betroffen ist

Alle acht Sicherheitshinweise betreffen GLPI 11.0.0 bis 11.0.9. Für GLPI 10.0.x und frühere Zweige gelten folgende Versionsbereiche:

• Versionen vor 10.0.28 für die Umgehung der Berechtigungsprüfung bei Massenaktionen, für die fehlende Rechteprüfung beim Löschen von Benutzern und für die Probleme in der Planungsfunktion;
• 9.5.0 bis vor 10.0.28 für die Rechteausweitung durch Klonen von Benutzern;
• 9.1.0 bis vor 10.0.28 für fehlende Berechtigungsprüfungen in der Planungsfunktion;
• 9.2.0 bis vor 10.0.28 für die Aufzählung von Benutzernamen über die Planungsfunktion.

Die reflektierte XSS-Schwachstelle, die Änderung der Zwei-Faktor-Authentifizierung und die SQL-Injection betreffen nur GLPI 11.0.0 bis vor 11.0.10. Korrigierte Versionen sind GLPI 10.0.28 und GLPI 11.0.10.

Was jetzt zu tun ist

1. Aktualisieren Sie jede GLPI-Installation der Versionen 11.0.0–11.0.9 auf GLPI 11.0.10. Damit werden die in allen acht Sicherheitshinweisen beschriebenen Schwachstellen behoben.
2. Aktualisieren Sie betroffene GLPI-Installationen der Versionen 10.0.x oder älter auf GLPI 10.0.28. Die Korrekturen für die oben genannten Bereiche 9.x und 10.0.x sind in GLPI 10.0.28 enthalten.
3. Die Sicherheitshinweise von GLPI nennen keine Problemumgehungen; behandeln Sie die Aktualisierung daher als wichtigste Schutzmaßnahme. Bis die Aktualisierung abgeschlossen ist, beschränken Sie den Zugriff auf die GLPI-Weboberfläche auf vertrauenswürdige Netzwerksegmente und überprüfen Sie administrative Änderungen.

Wie man es erkennt

GLPI hat zu diesen Sicherheitshinweisen keine Indikatoren für eine Kompromittierung veröffentlicht. Prüfen Sie während der Vorbereitung der Aktualisierung, ob unautorisierte Plugin-Aktivierungen, -Deaktivierungen oder -Deinstallationen stattgefunden haben, ob neu angelegte Benutzer mehr Rechte besitzen als der anlegende Techniker, ob die Zwei-Faktor-Authentifizierung privilegierter Konten verändert wurde und ob Konten mit höheren Rechten gelöscht wurden. Prüfen Sie für die SQL-Injection-Schwachstelle die Anwendungs- und Datenbankprotokolle auf ungewöhnliche Fehler im Zusammenhang mit Formularen, die Dropdowns für Akteure enthalten. Wiederholte Anfragen an Endpunkte der Planungsfunktion aus unerwarteten Quellen können auf die Aufzählung von Benutzernamen hindeuten.

Über den Patch hinaus

Über den Patch hinaus zeigt diese Gruppe von Sicherheitshinweisen, wie stark das Risiko bei GLPI in den Zugriffskontrollen der Anwendung liegt und wie sehr es darauf ankommt, die Release-Planung des Projekts zu verfolgen. Ein Penetrationstest und eine Überprüfung der Härtung können die oben beschriebenen Berechtigungs- und Injektionsschwachstellen reproduzieren; genau hier setzen unsere Leistungen für Implementierung und Sicherheitsbewertung an. Das Angebot Lieferkettenschutz und Drittparteirisiko hilft, die korrigierten GLPI-Releases mit den bei Ihnen tatsächlich eingesetzten Versionen abzugleichen, sodass das nächste Update-Fenster sichtbar wird, statt erst nach der Veröffentlichung entdeckt zu werden.