GLPI MFA-megkerülés: hitelesítetlen felhasználók kihagyhatják az egyszeri jelszó ellenőrzést (CVE-2026-52848)

Mi történt

A GLPI nyílt forráskódú informatikai eszköz- és szolgáltatásmenedzsment-csomag. A probléma a bejelentkezési folyamatban található. A 11.0.0-s verziótól a 11.0.8-as verzióig (a 11.0.8-at nem beleértve) a GLPI bejelentkezési oldalát hálózaton keresztül elérő támadó olyan URL-t készíthet, amely a hitelesítő adatok kezdeti ellenőrzése után kihagyja az egyszeri jelszó megadásának lépését. Ez azt jelenti, hogy a kétfaktoros hitelesítéssel védett fiók gyakorlatilag egyetlen tényezőre csökken: akinek már birtokában van a fiók jelszava, annak nincs szüksége a második tényezőre.

A CVSS 4.0 szerinti pontszám 9,2 (kritikus), a GLPI-példány bizalmasságára, sértetlenségére és rendelkezésre állására gyakorolt hatás pedig magas. A vektor hálózati támadást, alacsony támadási komplexitást és azt jelzi, hogy a támadáshoz nincs szükség jogosultságra vagy felhasználói interakcióra, ugyanakkor támadási feltételek fennállnak. A gyengeség CWE-288: a hitelesítés megkerülése alternatív útvonal vagy csatorna használatával. E riasztás forrásai nem számolnak be aktív kihasználásról vagy nyilvános közzétételről.

Kit érint

A GLPI 11.0.0-s verziótól a 11.0.8-as verzióig (a 11.0.8-at nem beleértve) minden verzió érintett. A GLPI-t gyakran használják informatikai eszközgazdálkodásra, helpdesk- és szolgáltatásipult-feladatokra, és belső rendszerként vagy portálon keresztül elérhető alkalmazásként is telepíthetik. A gyakorlati kockázat ott a legnagyobb, ahol a bejelentkezési oldal az internet felől vagy nagy belső hálózatból is elérhető, és ahol a felhasználók gyenge, újrahasznált vagy phishinggel megszerzett jelszavakat használhatnak, mert a hiba megszünteti azt a védelmet, amelyet a második tényező egyébként nyújtana.

Mit kell most tenni

1. Ellenőrizze, hogy a telepített verzió az érintett tartományba esik-e: a GLPI 11.0.0-s verziótól a 11.0.8-as verzióig (a 11.0.8-at nem beleértve), és azonosítsa azokat a fiókokat, amelyek MFA-t használnak.
2. Korlátozza a GLPI webes felületének elérhetőségét. Ha nem szükséges, hogy az internetről elérhető legyen, helyezze VPN mögé, vagy korlátozza ismert felügyeleti hálózatokra.
3. Kezelje úgy az érintett példányt, mintha az MFA nem lenne érvényben a rajta lévő fiókokra. Állítsa vissza azon fiókok jelszavait, amelyek érintettek lehetnek, és vizsgálja át a közelmúltbeli sikeres bejelentkezéseket szokatlan tevékenység után kutatva.
4. Kísérje figyelemmel a GLPI nyilvános biztonsági közleményeit és kiadási megjegyzéseit egy karbantartási kiadás érdekében. E riasztás adatai között jelenleg nem szerepel elérhető biztonsági javítás.

A javításon túl

Ez a sérülékenység azért fontos, mert az MFA csak annyira erős, amennyire a bejelentkezési folyamat ténylegesen érvényesíti. Ha a GLPI a helyi hálózaton túlról is elérhető, a Virtuális CISO szolgáltatás segíthet azonosítani az internet felől elérhető felügyeleti felületeket, és csökkenteni ezt a külső támadási felületet. Azoknak a csapatoknak, amelyek a teljes rendszerkörnyezetükben nyílt forráskódú összetevőkre, például a GLPI-ra támaszkodnak, az Ellátási lánc védelem és harmadik felekkel kapcsolatos kockázatok segít nyomon követni azokat a szoftvereket, amelyektől a szervezet függ, és azokat a javítási ciklusokat, amelyek meghatározzák a kitettség időtartamát.