PT-2024-3107 · Glpi+2 · Glpi+2

Guilhem7 · Publicado 2022-09-15 · Atualizado 2025-11-18 · CVE-2024-29889

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do GLPI anteriores à 10.0.15

Descrição

O problema está relacionado a uma vulnerabilidade de injeção de SQL no recurso de pesquisas salvas do GLPI, um pacote de software gratuito de gerenciamento de ativos e TI. Um usuário autenticado pode explorar essa vulnerabilidade para alterar os dados da conta de outro usuário e assumir o controle dela. A vulnerabilidade permite que um invasor remoto execute consultas SQL arbitrárias devido à proteção inadequada da estrutura das consultas SQL.

Recomendações

Para versões anteriores à 10.0.15, atualize para a versão 10.0.15 para resolver o problema. Como solução temporária, considere restringir o acesso ao recurso de pesquisas salvas até que a atualização seja aplicada.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

ALT-PU-2022-2614

ALT-PU-2022-2624

ALT-PU-2022-2665

ALT-PU-2023-7633

ALT-PU-2024-7181

ALT-PU-2024-7305

ALT-PU-2024-8030

ALT-PU-2024-8094

BDU:2024-03309

CVE-2024-29889

GHSA-8XVF-V6VV-R75G

Produtos afetados

Alt Linux

Glpi

Red Os

Referências · 19

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/29xxx/CVE-2024-29889.json · Exploit
• https://github.com/glpi-project/glpi/commit/0a6b28be4c0f848106c60b554c703ec2e178d6c7 · Correção
• https://github.com/glpi-project/glpi/security/advisories/GHSA-8xvf-v6vv-r75g · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-29889 · Aviso do Fabricante
• https://t.me/cvenotify/79411 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2024-29889 · Nota de Segurança
• https://safe-surf.ru/specialists/bulletins-nkcki/707140 · Nota de Segurança
• https://t.me/avleonovcom/1425 · Publicação no Telegram
• https://t.me/cvenotify/79461 · Publicação no Telegram
• https://glpi-project.org/glpi-release-10-0-15 · Nota
• https://safe-surf.ru/upload/VULN-new/VULN.2024-04-26.1.pdf · Nota de Segurança
• https://twitter.com/ransomnews/status/1990678798153498655 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-29889 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-29889 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1787888337535070583 · Publicação no Twitter