PT-2022-7409 · Glpi+2 · Glpi+2

Trasher · Publicado 2022-04-21 · Atualizado 2024-07-26 · CVE-2022-24867

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

GLPI (versões afetadas não especificadas)

Descrição

O problema está relacionado a um erro na transferência de configuração para JavaScript no sistema GLPI, em que algumas entradas são filtradas, mas a variável ldap pass não é. Isso permite que um invasor remoto obtenha acesso não autorizado à senha do root dn. O GLPI é um pacote de software gratuito para gestão de ativos e TI que oferece recursos de Service Desk ITIL, rastreamento de licenças e auditoria de software.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Information Disclosure

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-200

CWE-522

Identificadores relacionados

ALT-PU-2022-1914

ALT-PU-2022-2614

ALT-PU-2022-2624

ALT-PU-2022-2665

ALT-PU-2023-7633

ALT-PU-2024-8030

ALT-PU-2024-8094

BDU:2024-05821

CVE-2022-24867

GHSA-4R49-52Q9-5FGR

Produtos afetados

Alt Linux

Glpi

Red Os

Referências · 18

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/linux/http/glpi_htmlawed_php_injection.rb · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24867.json · Exploit
• 🔥 https://github.com/Orange-Cyberdefense/CVE-repository/blob/master/PoCs/POC_2022-35914.sh · Exploit
• 🔥 https://github.com/Orange-Cyberdefense/CVE-repository · Exploit
• 🔥 https://github.com/cosad3s/CVE-2022-35914-poc · Exploit
• 🔥 https://github.com/cactuschibre/CVE-2022-35914-poc · Exploit
• 🔥 https://github.com/Kitsun3Sec/exploits/tree/master/cms/GLPI/GLPI-stored-XSS · Exploit
• 🔥 https://github.com/Wangyanan131/CVE-2022-31061 · Exploit
• 🔥 https://github.com/Vu0r1-sec/CVE-2022-31061 · Exploit
• https://github.com/glpi-project/glpi/security/advisories/GHSA-4r49-52q9-5fgr · Nota
• https://github.com/glpi-project/glpi/commit/26f0a20810db11641afdcf671bac7a309acbb94e · Correção
• https://redos.red-soft.ru/support/secure · Nota
• https://osv.dev/vulnerability/CVE-2022-24867 · Aviso do Fabricante
• https://t.me/cibsecurity/41234 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-24867 · Nota de Segurança