Alertes de sécurité critiques pour GLPI : risques d'élévation de privilèges et d'injections

Le Centre d'expertise gouvernemental de réponse et de traitement des attaques informatiques (CERT-FR) a publié un avis d'urgence concernant plusieurs vulnérabilités impactant le logiciel de gestion des services informatiques GLPI.

Risques identifiés

Ces failles exposent les organisations à des menaces critiques, notamment :

• Une élévation de privilèges, permettant à un attaquant d'obtenir des droits accrus au sein du système ;
• Une atteinte à l'intégrité des données, compromettant la fiabilité des informations stockées ;
• Des injections SQL (SQLi), ouvrant la porte à des manipulations malveillantes des bases de données ;
• Des injections de code indirectes à distance (XSS), exploitant des failles de traitement des entrées utilisateur ;
• Un contournement de la politique de sécurité, affaiblissant les mécanismes de protection en place.

Systèmes concernés

Les versions vulnérables de GLPI sont les suivantes :

• Toutes les versions 11.0.x antérieures à 11.0.8 ;
• Toutes les versions antérieures à 10.0.26.

Recommandations

Pour neutraliser ces risques, il est impératif de mettre à jour immédiatement GLPI vers une version corrigée, en se référant aux bulletins de sécurité publiés par l'éditeur. Ces correctifs sont disponibles via les liens dédiés dans la documentation technique associée.

Source : ANSSI / CERT-FR — Alertes & avis