GLPI: injeção de SQL sem autenticação e RCE por personificação divulgadas
Duas pesquisas independentes relatam falhas no GLPI, plataforma de gestão de ativos de TI e service desk. A Mobeta confirmou, com PoC em instalação limpa do GLPI 11.0.8, injeção de SQL sem autenticação que expõe hashes de senha e outros dados do banco; a Fenrisk demonstrou personificação do servidor via ESC17 do AD CS, com execução de comandos em hosts gerenciados com privilégios SYSTEM/root. As fontes não citam correção; administradores devem acompanhar os avisos do projeto.
O que aconteceu
Pesquisadores da Mobeta e da Fenrisk divulgaram falhas no GLPI, sistema de gestão de ativos de TI e service desk. Uma injeção de SQL sem autenticação permite ler dados do banco, incluindo hashes de senha. Um segundo estudo demonstra como personificar o servidor GLPI e executar comandos nas máquinas que ele gerencia.
Por que importa
Qualquer pessoa que alcance o servidor GLPI 11, sem login, pode extrair hashes de senha, configurações, inventário e chamados. Com a personificação do servidor via certificados do Active Directory, um atacante executa comandos com privilégios máximos nos hosts gerenciados, podendo parar operações e comprometer a rede.
O que fazer
Restringir o acesso ao GLPI, em especial à página /front/planning.php, e revisar logs em busca de consultas anômalas. Acompanhar os avisos do projeto GLPI e aplicar a correção assim que sair; avaliar troca de senhas de contas administrativas.
Para o time técnico
- Afetados
- GLPI (plataforma de gestão de ativos de TI e service desk) · GLPI 11 (confirmado em instalação limpa da 11.0.8); ramo experimental 12-dev também citado. A via de RCE abusa de certificados do Active Directory Certificate Services (ESC17).
- Exploração
- Sem relato de exploração em ataques reais nas fontes. Pesquisador da Mobeta confirmou a injeção com PoC em GLPI 11.0.8: SLEEP via subconsulta não correlacionada contra a tabela glpi_configs, já que as tabelas de planejamento podem estar vazias. A Fenrisk demonstrou a personificação de servidor via ESC17.
- Correção
- As fontes não citam versão corrigida, patch ou mitigação.
- Vetor
- Componente: GLPI 11, página /front/planning.php. Falha: injeção de SQL sem autenticação, do tipo time-based blind, sem necessidade de login. O parâmetro genical faz a aplicação pular Session::checkRight("planning", READ) e checkavailability invoca Planning::checkAvailability antes da validação do token iCalendar; a requisição precisa referenciar um registro existente via itemtype e users_id; begin e end chegam a CommonITILTask::genericPopulatePlanning e ProjectTask::populatePlanning, onde o ramo not_planned concatena os valores em SQL com new QueryExpression(...), ignorando o escapamento do query builder.
- Mais detalhes
- A SQLi dá acesso de leitura: hashes de senha, configuração, registros de inventário e chamados; RCE direto não foi demonstrado, e assumir uma conta de administrador no 11.0.8 pode exigir quebrar um hash extraído. No 12-dev, o pesquisador também verificou que o SessionTracker armazena identificadores de sessão PHP (trecho da fonte truncado). Descoberta: Mobeta (SQLi) e Fenrisk (ESC17); a personificação via ESC17 permite executar comandos em hosts gerenciados com privilégios SYSTEM/root.
Linha do tempo
Pesquisadores da Mobeta e da Fenrisk divulgaram injeção de SQL sem autenticação e personificação de servidor via ESC17 no GLPI.
Fontes 1 fonte
- @ptdbugs @ptdbugs
