GLPI

Die Schwachstelle betrifft die IT-Service-Management-Software GLPI von Teclib und sitzt nicht im Kernprodukt selbst, sondern in einer mitgelieferten Drittanbieter-Komponente: dem htmLawed-Modul, das eigentlich dazu dient, HTML-Eingaben zu bereinigen und zu filtern. Genauer betroffen ist eine Test-Datei dieses Moduls, die fälschlich mit ausgeliefert und über die Weboberfläche erreichbar ist. Über sie lässt sich PHP-Code einschleusen: Ein Angreifer kann eigenen Programmcode an den Server übergeben, der ihn anschließend ausführt. Damit erlangt der Angreifer die Möglichkeit, beliebige Befehle auf dem System auszuführen, auf dem GLPI betrieben wird, und so die Anwendung und potenziell den darunterliegenden Server zu kontrollieren. Betroffen sind Installationen von GLPI, in denen diese verwundbare Modul-Datei vorhanden und aus dem Netz erreichbar ist – ein typischer Angriffspunkt, da GLPI häufig als zentrale Verwaltungsplattform im Netzwerk eingesetzt wird.