GLPI到9.4.3容易被帐户接管

CVE编号

CVE-2019-14666

利用情况

暂无

补丁情况

N/A

披露时间

2019-09-26

漏洞描述

GLPI through 9.4.3 易于滥用ajax/autocompletion.php自动完成功能来进行帐户接管。缺少正确的验证会导致恢复通过密码重置功能生成的令牌，因此，经过身份验证的攻击者可以为任何用户设置任意密码。可以利用此漏洞来控制管理员帐户。也可能滥用此漏洞来获取其他敏感字段，例如API密钥或密码哈希。

解决建议

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://github.com/glpi-project/glpi/security/advisories/GHSA-47hq-pfrr-jh5q

参考链接
https://github.com/glpi-project/glpi/security/advisories/GHSA-47hq-pfrr-jh5q
https://www.tarlogic.com/advisories/Tarlogic-2019-GPLI-Account-Takeover.txt

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	glpi-project	glpi	*		Up to (including) 9.4.3

CVSS3评分 8.8

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 低
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-200 信息暴露