CVE-2024-50339

GLPI: Kradzież sesji przez nieuauthoryzowany dostęp do identyfikatorów sesji

CVSS 9.3v4.0pub. 2024-12-12upd. 2025-01-10

W oprogramowaniu GLPI nieuuthentykowany użytkownik może pobrać wszystkie identyfikatory sesji i wykorzystać je do przejęcia dowolnej aktywnej sesji. Podatność jest krytyczna, ponieważ umożliwia całkowite ominięcie uwierzytelnienia bez znajomości jakichkolwiek danych logowania.

▸ Pokaż oryginał (EN)

GLPI is a free asset and IT management software package. Starting in version 9.5.0 and prior to version 10.0.17, an unauthenticated user can retrieve all the sessions IDs and use them to steal any valid session. Version 10.0.17 contains a patch for this issue.

🤖 Analiza AI

Jak działa

Błąd wynika z nieprawidłowej kontroli dostępu do identyfikatorów sesji (CWE-287, CWE-384), co pozwala osobie nieuwierzytelnionej na pobranie listy wszystkich aktywnych sesji w systemie. Atakujący może następnie użyć uzyskanego identyfikatora sesji do podszywania się pod zalogowanego użytkownika — w tym administratora. Podatność istnieje od wersji 9.5.0 i nie wymaga żadnej interakcji ze strony ofiary.

Skutki

Atakujący może przejąć dowolną aktywną sesję użytkownika lub administratora systemu GLPI, uzyskując pełny dostęp do zarządzanych zasobów IT i danych bez znajomości hasła. W połączeniu z oznaczeniem CWE-79 (XSS) istnieje również ryzyko wykonania złośliwych skryptów w kontekście przejętej sesji.

Mitygacja

Należy zaktualizować GLPI do wersji 10.0.17, która zawiera patch eliminujący tę podatność. Patch dostępny jest w oficjalnym repozytorium projektu pod adresem: https://github.com/glpi-project/glpi/releases/tag/10.0.17

Kogo dotyczy

GLPI w wersjach od 9.5.0 do wcześniejszych niż 10.0.17

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X