GLPI 11.0.10 és 10.0.28 több magas súlyosságú biztonsági hibát javít

Mi történt

A GLPI projekt nyolc biztonsági közleményt adott ki, amelyek magas és közepes súlyosságú hibákat írnak le. A GHSA-47mc-679g-2jrv visszavert cross-site scripting (XSS) hiba az irányítópult keresési találatait megjelenítő widgetben: a támadó szkriptet tartalmazó URL-t készíthet, és ha egy bejelentkezett GLPI-felhasználó megnyitja ezt az URL-t, a szkript a böngészőjében fut le. A GHSA-j5vx-jrmw-2498 lehetővé teszi, hogy névtelen támadók a tervezési funkción keresztül összegyűjtsék a GLPI-felhasználóneveket.

Több hitelesítést igénylő hiba teszi lehetővé, hogy a felhasználók túllépjék a jogosultságaikat. A GHSA-3w48-r8r5-mf8c lehetővé teszi, hogy bármely hitelesített felhasználó olyan URL-t készítsen, amellyel jogosulatlan tömeges műveleteket futtathat, többek között a fájlrendszerben már meglévő bővítményeket aktiválhatja, letilthatja vagy eltávolíthatja. A GHSA-pjj6-ww22-86qh SQL-befecskendezést tesz lehetővé az űrlapok szereplőit tartalmazó legördülő menün keresztül; bármely hitelesített felhasználó kihasználhatja, aki hozzáfér egy szereplőválasztó legördülő menüt tartalmazó űrlaphoz. A GHSA-c46f-4v9j-5gpc lehetővé teszi, hogy egy technikus lemásoljon egy felhasználót, és a sajátjánál több jogosultsággal rendelkező fiókot hozzon létre. A GHSA-mhhg-77qx-qf26 lehetővé teszi, hogy egy technikus letiltsa egy magasabb jogosultságú felhasználó kétfaktoros hitelesítését, vagy átvegye az irányítást afelett. A GHSA-5pgp-cfq7-4j9h lehetővé teszi, hogy egy technikus törölje egy több jogosultsággal rendelkező felhasználó fiókját. A GHSA-5fw5-vgrw-ggp5 lehetővé teszi, hogy a technikusok a saját entitásuk hatókörén kívül eső eseménytartalmakat olvassanak.

Egyik közlemény sem számol be aktív kihasználásról vagy nyilvános közzétételről.

Kit érint

Mind a nyolc közlemény érinti a GLPI 11.0.0–11.0.9 verziókat. A GLPI 10.0.x és a korábbi ágak esetében az érintettségi tartományok a következők:

• a 10.0.28 előtti kiadások érintettek a tömeges műveletek jogosultság-ellenőrzésének megkerülése, a felhasználótörlés jogosultság-ellenőrzése és a tervezési problémák esetében;
• a 9.5.0-tól a 10.0.28 előtti verziókig tartó kiadások érintettek a felhasználó klónozásából adódó jogosultságszint-emelés esetében;
• a 9.1.0-tól a 10.0.28 előtti verziókig tartó kiadások érintettek a tervezés hiányzó jogosultság-ellenőrzései esetében;
• a 9.2.0-tól a 10.0.28 előtti verziókig tartó kiadások érintettek a felhasználónevek tervezési funkción keresztül történő összegyűjtése esetében.

A visszavert XSS-re, a kétfaktoros hitelesítés módosítására és az SQL-befecskendezésre vonatkozó közlemények csak a GLPI 11.0.0-tól a 11.0.10 előtti verziókig terjedő kiadásokat érintik. A javított verziók: GLPI 10.0.28 és GLPI 11.0.10.

Mit kell most tenni

1. Frissítse az összes GLPI 11.0.0–11.0.9 telepítést a GLPI 11.0.10 verzióra. Ez mind a nyolc közleményben leírt hibát megszünteti.
2. Frissítse az érintett GLPI 10.0.x vagy korábbi telepítéseket a GLPI 10.0.28 verzióra. A fent felsorolt 9.x és 10.0.x tartományok javításait a GLPI 10.0.28 tartalmazza.
3. A GLPI közleményei nem sorolnak fel kerülő megoldásokat, ezért a frissítést tekintse elsődleges biztonsági intézkedésnek. Amíg a frissítés nem készül el, korlátozza a GLPI webes felületének elérését megbízható hálózati szegmensekre, és ellenőrizze az adminisztratív módosításokat.

Hogyan észlelhető

A GLPI nem tett közzé kompromittálódásra utaló jeleket ezekhez a közleményekhez. A frissítés előkészítése közben ellenőrizze a jogosulatlan bővítményaktiválásokat, -letiltásokat és -eltávolításokat; az olyan újonnan létrehozott felhasználókat, akiknek jogosultságai meghaladják a létrehozó technikus jogosultságait; a magas jogosultságú fiókok kétfaktoros hitelesítésének módosításait; valamint a magasabb jogosultságú fiókok törlését. Az SQL-befecskendezéses hiba esetén tekintse át az alkalmazás- és adatbázisnaplókat az olyan űrlapokkal kapcsolatos szokatlan hibák kereséséhez, amelyek szereplőválasztó legördülő menüt tartalmaznak. A tervezési végpontokra váratlan forrásokból érkező ismétlődő kérések a felhasználónév-összegyűjtési problémára utalhatnak.

A javításon túl

A javításon túl ez a közleménycsomag is megmutatja, hogy a GLPI kockázatainak mekkora része az alkalmazásszintű jogosultság-ellenőrzésekben rejlik, és mekkora része függ attól, mennyire követik nyomon a projekt kiadási ütemét. A behatolásteszt és a megerősítési felülvizsgálat képes reprodukálni a fent leírt jogosultsági és befecskendezési hibákat; ide illeszkedik a Bevezetési és felmérési szolgáltatások területünk. Az Ellátási lánc védelem és harmadik fél kockázatai segít nyomon követni a GLPI javított kiadásait az Ön által ténylegesen futtatott verziókkal összevetve, így a következő frissítési időablak láthatóvá válik, nem pedig a közlemény megjelenése után derül ki.