CVE-2023-28838

SQL Injection w GLPI umożliwiający kradzież danych i zapis webshella

CVSS 9.6v3.1pub. 2023-04-05upd. 2024-11-21

GLPI, oprogramowanie do zarządzania zasobami IT, zawiera krytyczną podatność SQL Injection w modułach statystyk i raportów. Atakujący z uprawnieniami do tych modułów może wyeksfiltrowaæ całą zawartość bazy danych, a w niektórych przypadkach również zapisać webshell na serwerze.

▸ Pokaż oryginał (EN)

GLPI is a free asset and IT management software package. Starting in version 0.50 and prior to versions 9.5.13 and 10.0.7, a SQL Injection vulnerability allow users with access rights to statistics or reports to extract all data from database and, in some cases, write a webshell on the server. Versions 9.5.13 and 10.0.7 contain a patch for this issue. As a workaround, remove `Assistance > Statistics` and `Tools > Reports` read rights from every user.

🤖 Analiza AI

Jak działa

Podatność klasy SQL Injection (CWE-89) polega na niewystarczającym filtrowaniu danych wejściowych dostarczanych przez użytkownika do zapytań SQL w modułach 'Assistance > Statistics' oraz 'Tools > Reports'. Zalogowany użytkownik posiadający uprawnienia do odczytu tych sekcji może wstrzyknąć złośliwy kod SQL, który zostanie wykonany przez silnik bazy danych. W określonych konfiguracjach możliwe jest również zapisanie pliku webshell na serwerze przy użyciu funkcji zapisu pliku dostępnych w bazie danych.

Skutki

Atakujący może odczytać pełną zawartość bazy danych (dane użytkowników, konfiguracje, dane inwentaryzacyjne), a w sprzyjających warunkach uzyskać zdalną kontrolę nad serwerem poprzez zapisanie i uruchomienie webshella.

Mitygacja

Należy zaktualizować GLPI do wersji 9.5.13 lub 10.0.7, które zawierają patch eliminujący podatność. Jako obejście tymczasowe należy odebrać wszystkim użytkownikom prawa do odczytu sekcji 'Assistance > Statistics' oraz 'Tools > Reports'.