GLPI felhasználóklónozási jogosultságszint-emelés teszi lehetővé, hogy hitelesített felhasználók Super-Admin-fiókokat hozzanak létre (CVE-2026-121559)

Mi történt

A GLPI 10.0.0-tól a 10.0.28-nál korábbi, valamint a 11.0.0-tól a 11.0.10-nél korábbi verziói jogosultságszint-emelési hibát tartalmaznak a felhasználók klónozásában (CWE-269). Egy hitelesített, Technician profillal rendelkező felhasználó új bejelentkezési névvel és jelszóval klónozhat egy Super-Admin-fiókot. A User::getCloneRelations() minden Profile_User és Group_User hozzárendelést jogosultság-ellenőrzés nélkül másol át, így az új fiók megtartja a Super-Admin profilt. Az eredmény egy, a támadó által irányított Super-Admin-fiók.

A CVSS 4.0 vektor ezt 8,6 pontra értékeli (magas): a hiba hálózaton keresztül elérhető, a támadás bonyolultsága alacsony, felhasználói beavatkozást nem igényel, viszont magas jogosultságszintet feltételez. A GLPI-rendszer bizalmasságára, sértetlenségére és rendelkezésre állására gyakorolt hatás magas; a további rendszereket nem érinti. Az SSVC nem rögzít megfigyelt kihasználást, a technikai hatást pedig teljesnek értékeli. A CVE-rekord nem számol be éles környezetben történő kihasználásról.

Kit érint

Az érintett telepítések a GLPI 10.0.0-tól a 10.0.28-nál korábbi, valamint a 11.0.0-tól a 11.0.10-nél korábbi verziók. A GLPI nyílt forráskódú informatikai eszközgazdálkodási és IT-ügyfélszolgálati (service desk) platform, amelyet gyakran belsőleg üzemeltetnek, vagy a támogató csapatok számára tesznek elérhetővé; ha Ön a felhasználóknak Technician profilt ad, ezekben a verziókban az érintett kód jelen van. A CVE-rekord nem említ további érintett termékeket vagy konfigurációkat.

Mit kell most tenni

1. Frissítsen javított kiadásra: a GLPI 10.0.28 verzióra a 10.0.0-tól a 10.0.28-nál korábbi telepítések esetén, vagy a GLPI 11.0.10 verzióra a 11.0.0-tól a 11.0.10-nél korábbi telepítések esetén. A javítás ezekben a verziókban érhető el.
2. Ha az azonnali frissítés nem lehetséges, vizsgálja át a fiókokat, és korlátozza a profil-hozzárendeléseket, különösen azt, hogy ki rendelkezik Technician vagy Super-Admin jogosultsággal. A CVE-rekord nem sorol fel külön kerülő megoldást.
3. Keressen a GLPI felhasználókezelésében nemrég létrehozott, Super-Admin profillal rendelkező fiókokat; távolítsa el vagy tiltsa le azokat, amelyek nem köthetők jóváhagyott fiók-létrehozáshoz.

Hogyan észlelhető

Vizsgálja át a GLPI felhasználókezelését, és keressen olyan új fiókokat, amelyek Super-Admin jogosultsággal rendelkeznek, különösen azokat, amelyeket Technician felhasználók hoztak létre, vagy amelyek a szokásos munkatársi belépési és távozási folyamaton kívül keletkeztek. Mivel a hiba a profil- és csoporthozzárendeléseket másolja, egy kihasznált rendszerben új, privilegizált fiók jelenik meg, nem pedig egy meglévő fiók jogosultságai változnak meg.

A javításon túl

A javításon túl ezt fiókjogosultsági problémaként kezelje: a támadó egy meglévő, magas jogosultságú fiókot használt arra, hogy új Super-Admin identitást hozzon létre. A Menedzselt kiberbiztonsági felügyelet azért releváns, mert a jogosultságszint-emelés és a szokatlan fióklétrehozás EDR- és SIEM-nyomokat hagy, amelyek észlelhetők. Ha az Ön GLPI-platformját partnerek vagy ügyfelek is elérhetik, a Bevezetési és felmérési szolgáltatások segítségével tesztelheti a telepítést, és átvizsgálhatja a szerepkör-hozzárendeléseket, mielőtt azokat kihasználnák.