Vulnérabilités dans GLPI

Date de publication :

CVE-2020-27662[Score CVSS v3 : 4.3] : Une vulnérabilité a été découverte puis corrigée dans GLPI. Cette dernière peut permettre à un utilisateur authentifié (au minimum avec les niveaux de privilèges “self_service”) et distant de consulter n’importe quelle table des bases de données de GLPI (comme glpi_tickets et glpi_users).

CVE-2020-27663 [Score CVSS v3 : 4.3] : Une vulnérabilité a été découverte puis corrigée dans GLPI. Cette dernière peut permettre à un utilisateur authentifié (au minimum avec les niveaux de privilèges “self_service”) et distant de consulter les données de n’importe quel type d’objet (“Users”, “Tickets”, etc.).

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Extraction de données sensibles

    Violation des politiques de sécurité

Criticité

    Score CVSS v3 : 4.3

Existence d’un code d’exploitation

    Il n’existe pas de code d’exploitation publiquement.

    Néanmoins ces vulnérabilités restent très simples à exploiter.

Composants vulnérables

    GLPI (<v9.5.3)

CVE

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour de GLPI vers la version 9.5.3 ici. 

Solution de contournement

  • Aucune solution de contournement n’a été proposée publiquement à ce jour.

Liens