Обновления безопасности
Назад к п.2
2.549 Множественные уязвимости glpi
| Идентификатор бюллетеня | ROS-20240726-01 |
| Идентификатор CVE | CVE-2022-24867 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:C/I:N/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Высокий(7.8) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Высокий(7.5) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с передачей конфигурации в javascript некоторые записи отфильтровываются, но переменная ldap_pass не фильтруется. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, узнать пароль для root dn |
| Идентификатор CVE | CVE-2022-24869 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:P/I:P/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.5) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.4) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с использованием действий с тикетамм или настройкой сообщений для входа со ссылкой на таблицу стилей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку с использованием межсайтового скриптинга |
| Идентификатор CVE | CVE-2022-24868 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:P/I:P/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.5) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.4) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с отсутствием очистки при загрузке файлов SVG и внедрением javascript в аватар пользователей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку с использованием межсайтового скриптинга |
| Идентификатор CVE | CVE-2022-31061 |
| Идентификатор БДУ ФСТЭК России | BDU:2022-04910 |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:C/I:C/A:C |
| Уровень опасности уязвимости (CVSS 2.0) | Высокий(10.0) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Уровень опасности уязвимости (CVSS 3.0) | Критичный(9.8) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять межсайтовые сценарные атаки |
| Идентификатор CVE | CVE-2022-36112 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:P/I:N/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.0) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.8) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с тем, что использование RSS-каналов или внешнего календаря при планировании подвержено эксплойту SSRF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, сканировать порты сервера или служб, открытых на сервере GLPI или его частной сети |
| Идентификатор CVE | CVE-2022-35947 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:C/I:C/A:C |
| Уровень опасности уязвимости (CVSS 2.0) | Высокий(10.0) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Уровень опасности уязвимости (CVSS 3.0) | Критичный(9.8) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с тем, что неправильно нейтрализуются специальные элементы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, сканировать порты сервера или служб, проводить атаки SQL-инъекцией |
| Идентификатор CVE | CVE-2022-35946 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:C/I:C/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Высокий(9.4) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(6.5) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с отсутствием проверки входных запросов должным образом в контроллере плагина и использованием для доступа к низкоуровневому API класса плагина. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, сканировать порты сервера или служб, воздействовать на целостность системы |
| Идентификатор CVE | CVE-2022-35945 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:P/I:P/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(6.4) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(6.1) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с тем, что регистрационный ключ, не экранируется должным образом на странице конфигурации регистрационного ключа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, украсть файла cookie администратора GLPI |
| Идентификатор CVE | CVE-2022-31187 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:P/I:P/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.5) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.4) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с отсутствием нейтрализации HTML-тегов должным образом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, воздействовать на конфиденциальность системы |
| Идентификатор CVE | CVE-2022-31143 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:P/I:N/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.0) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.3) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с раскрытием конфиденциальной информации неавторизованному лицу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть конфиденциальные данные |
| Идентификатор CVE | CVE-2022-39276 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:P/I:N/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.0) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.3) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с подделкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправить пользователя на вредоносный URL-адрес |
| Идентификатор CVE | CVE-2022-39262 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:M/C:P/I:P/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(4.7) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(4.8) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с определением содержимого в формате RTF, которое будет отображаться на странице входа, содержащего вредоносный код. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код и похитить конфиденциальные данные |
| Идентификатор CVE | CVE-2022-39234 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:C/I:C/A:C |
| Уровень опасности уязвимости (CVSS 2.0) | Высокий(9.0) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Уровень опасности уязвимости (CVSS 3.0) | Высокий(8.8) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с недостаточным истечением срока сеанса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказывать воздействие на целостность системы |
| Идентификатор CVE | CVE-2022-39376 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:N/I:C/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(6.8) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(6.5) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказывать воздействие на целостность системы |
| Идентификатор CVE | CVE-2022-39375 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:P/I:P/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.5) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.4) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с неправильной нейтрализацией входных данных во время генерации веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, внедрить вредоносный код |
| Идентификатор CVE | CVE-2022-39372 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:P/I:P/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Средний(5.5) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(5.4) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с внедрением вредоносного кода администратором. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, внедрить вредоносный код учетных записях |
| Идентификатор CVE | CVE-2022-39370 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:S/C:P/I:N/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(4.3) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с получить возможностью получить доступ к панели отладки через скрипт обновления GLPI. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказывать воздействие на целостность системы |
| Идентификатор CVE | CVE-2022-39277 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:M/C:P/I:N/A:N |
| Уровень опасности уязвимости (CVSS 2.0) | Низкий(3.3) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N |
| Уровень опасности уязвимости (CVSS 3.0) | Средний(4.8) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с отсутствием должной очистки внешних ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку Cross-Site Scripting (XSS) |
| Идентификатор CVE | CVE-2022-39323 |
| Идентификатор БДУ ФСТЭК России | |
| Базовый вектор уязвимости CVSS 2.0 | AV:N/AC:L/Au:N/C:C/I:C/A:C |
| Уровень опасности уязвимости (CVSS 2.0) | Высокий(10.0) |
| Базовый вектор уязвимости CVSS 3.0 | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Уровень опасности уязвимости (CVSS 3.0) | Критичный(9.8) |
| Описание уязвимости | Уязвимость системы работы с заявками и инцидентами GLPI связана с тем, что неправильно нейтрализуются специальные элементы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, сканировать порты сервера или служб, провести атаку на основе времени с использованием SQL-инъекции в API REST user_token |
| Наименование уязвимого пакета: | glpi |
| Версия уязвимого пакета младше: | 10.0.15-3 |
| Пакет обновления: | glpi-0:10.0.15-3.el7.noarch |
| Версия ОС | 7.3 |
| Архитектура ОС | х86_64 |
| Возможные меры по устранению уязвимости |
|
| Дата публикации бюллетеня | 26.07.2024 |
Дата последнего изменения: 26.07.2024
Если вы нашли ошибку, пожалуйста, выделите текст и нажмите Ctrl+Enter.