GLPI 11.0.8 javítja az űrlapimporton keresztül történő távoli kódfuttatást (CVE-2026-48482) és más magas súlyosságú hibákat

Mi történt

A legsúlyosabb probléma a CVE-2026-48482, távoli kódfuttatási hiba a GLPI 11.0.0-ás és a 11.0.8-as verzió előtti kiadásaiban. Az űrlap-rendszergazdai jogosultsággal rendelkező felhasználó olyan manipulált illusztráció- vagy jelenetazonosítóval importálhat űrlapot, amely az egyéni eszközök tárolására szánt könyvtáron kívülre mutat. Az importált fájl ezután a szerver egy futtatható helyére írható, így egy rosszindulatú szkript távolról meghívható. A GLPI ezt kritikusnak minősíti, a CVSS 4.0-s alappontszáma 9,4: hálózati támadási vektor, alacsony támadási komplexitás, magas jogosultsági szint szükséges, és nincs felhasználói interakció.

A GLPI 11.0.8-as kiadása további kilenc problémát is javít. A GHSA-hgr8-qvp5-mhch lehetővé teszi, hogy bármely felhasználó olyan URL-t készítsen, amely bejelentkezéskor megkerüli az egyszer használatos jelszó ellenőrzését. A CVE-2026-47679 lehetővé teszi bármely bejelentkezett felhasználó számára, hogy a profilkép-frissítési folyamaton keresztül a támadó által kiválasztott fájl törlését kérje. SQL-injekció található a legördülő lista értékeit szolgáltató végpontban bármely hitelesített felhasználó számára, valamint az előzmények fülön a naplókra vonatkozó olvasási jogosultsággal rendelkező felhasználók számára. A kiadás emellett javítja a beszállítói webhelyek mezőiben tárolt keresztoldali szkriptelést, a vezérlőpultokon megjelenő reflektált keresztoldali szkriptelést, a TOTP-ellenőrzés sebességkorlátozásának hiányát, ha az elsődleges hitelesítő adatok ismertek, az authtype API jogosultságszint-emelését, amellyel megváltoztatható egy másik felhasználó hitelesítési módszere, és amely régi REST- vagy SSO-konfigurációk esetén fiókátvételt is lehetővé tehet, valamint az űrlapkontextusra vonatkozó jogosultság-ellenőrzés megkerülését, amely jogosulatlan dokumentumolvasást tesz lehetővé.

E hibák egyike sem szerepel a CISA KEV listáján, és a CVE-rekordokban sem szerepel, hogy azokat éles környezetben kihasználták volna.

Kit érint

A GLPI egy ingyenes eszköz- és IT-kezelő csomag, amelyet gyakran belső helpdeskként és eszköznyilvántartóként üzemeltetnek. A CVE-2026-48482, a GHSA-hgr8-qvp5-mhch, a CVE-2026-49470 és a CVE-2026-53610 a GLPI 11.0.0-ás és a 11.0.8-as verzió előtti kiadásait érinti. A CVE-2026-55214 a GLPI 11.0.6-os és a 11.0.8-as verzió előtti kiadásait érinti, a CVE-2026-53626 pedig a 11.0.5-ös és a 11.0.8-as verzió előtti kiadásokat. A CVE-2026-47679, a GHSA-v774-5g3p-vxg2 és a CVE-2026-53629 a GLPI 10.0.0-ás és a 10.0.26-os verzió előtti, valamint a 11.0.0-ás és a 11.0.8-as verzió előtti kiadásait érinti; a GHSA-v774-5g3p-vxg2 és a CVE-2026-53629 SQL-injekciós hibák a GLPI 9.4.0-ás és a 10.0.26-os verzió előtti kiadásait is érintik. A CVE-2026-53625 a GLPI 0.70-es verziójától a 10.0.26-os verzió előtti kiadásokig, valamint a 11.0.0-ás és a 11.0.8-as verzió előtti kiadásokat érinti.

Mit kell most tenni

1. Frissítsen egy javított kiadásra. A GLPI 11.0.8-as verzió javítja a GLPI 11.0.0-ás és a 11.0.8-as verzió előtti kiadásait érintő problémákat. A GLPI 10.0.26-os verzió javítja azokat a problémákat, amelyek a GLPI 9.4.0-ás és a 10.0.26-os verzió előtti, valamint a 10.0.0-ás és a 10.0.26-os verzió előtti kiadásokat érintik. Ha a GLPI 0.70-es verziójától a 10.0.26-os verzió előtti kiadást használ, a 10.0.26-os verzió a javított kiadás a CVE-2026-53625 tekintetében. Ellenőrizze, mely CVE-k érintik az Ön kiadását, mielőtt kiválasztaná a célverziót.
2. A GLPI ehhez a hibacsomaghoz nem tett közzé kerülő megoldást. Ha nem tud azonnal frissíteni, korlátozza a GLPI hálózati elérését, és vizsgálja felül a magas jogosultságú fiókokat, beleértve az űrlap-rendszergazdákat és a régi REST API-t vagy SSO-bejelentkezést használó felhasználókat.
3. A javítás telepítése után vizsgálja felül a hitelesítési módszerek változásait, és állítsa vissza a hitelesítő adatokat ott, ahol fennállhatott a fiókátvétel lehetősége, különösen ott, ahol a régi REST API-felületet vagy SSO-bejelentkezést használnak.

Hogyan észlelhető

A szállító ezekhez a hibákhoz nem tett közzé konkrét, kompromittálódásra utaló jeleket. Vizsgálja át az alkalmazás- és webkiszolgáló-naplókat a szokatlan űrlapimportok, a profilkép-frissítési kérések, a váratlan paramétereket tartalmazó legördülőlista-lekérések és előzményfül-kérések, az ismétlődő sikertelen TOTP-beküldések, valamint a manipulált vezérlőpult- vagy beszállítólista-URL-ek után. Ellenőrizze a webgyökérkönyvtárat és az egyéni eszközök könyvtárait, hogy nincsenek-e bennük váratlan futtatható fájlok.

A javításon túl

Ez a csomag éppúgy a javítási ciklus problémája, mint technikai kérdés: a GLPI egyetlen 11.0.8-as frissítést ad ki, amely lezárja a kritikus távoli kódfuttatást és kilenc másik magas súlyosságú hibát, a régebbi érintett kiadási tartományokat pedig a 10.0.26-os verzióra irányítja. A Bevezetési és felmérési szolgáltatások olyan penetrációs tesztelést és rendszer-megerősítési vizsgálatokat foglalnak magukban, amelyek már az éles bevezetés előtt megtalálják az injekciós és hitelesítési hibákat. Az Ellátási lánc védelem és harmadik fél kockázatkezelés nyomon követi a beszállítói javítási ciklusokat, például a GLPI-ét, így a szállítói javítás és az Ön telepítése közötti rés mérhetővé válik és csökkenthető.