BDU:2023-03380 (CVE-2023-28855)

Уязвимость системы работы с заявками и инцидентами GLPI, связанная с неправильной авторизацией, позволяющая нарушителю повышать привилегии внутри приложения

Опубликовано: 2023-06-26

Описание

Уязвимость системы работы с заявками и инцидентами GLPI связана с отсутствием авторизации, позволяющей пользователю с профилем «Технический специалист» просматривать и генерировать личный токен для суперадминистратора. Эксплуатация уязвимости может позволить нарушителю договориться о сеансе GLPI и захватить учетную запись суперадминистратора.

Затрагиваемое ПО и версии

РЕД ОС (7.3)GLPI (до 9.5.13)GLPI (до 10.0.7)

Способ устранения

Использование рекомендаций:
Для GLPI:
https://github.com/glpi-project/glpi/releases/tag/10.0.7
https://github.com/glpi-project/glpi/releases/tag/9.5.13

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	9 — высокая опасность

Источники и патчи

https://redos.red-soft.ru/support/secure/https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-glpi-cve-2023-28855-cve-2023-28852-cve-2023-28849-cve-2023-28838-cve-2023/https://github.com/glpi-project/glpi/releases/tag/10.0.7 https://github.com/glpi-project/glpi/releases/tag/9.5.13 https://github.com/glpi-project/glpi/security/advisories/GHSA-4279-rxmh-gf39

Проверьте безопасность своего сайта и почты → Полная проверка домена