BDU:2024-09128

Опубликовано: 06 нояб. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость системы заявок, инцидентов и инвентаризации компьютерного оборудования GLPI связана с некорректным управлением сеансом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить полный доступ к приложению путём перехвата сеанса

Вендор

ООО «Ред Софт»

GLPI Project

Наименование ПО

РЕД ОС

GLPI

Версия ПО

7.3 (РЕД ОС)

до 10.0.17 (GLPI)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- использование механизма «белых» списков IP-адресов для организации доступа к уязвимому программному обеспечению;

- сегментирование сети для предотвращения возможности перехвата сеанса;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:

https://glpi-project.org/glpi-release-10-0-17/

https://github.com/glpi-project/glpi/releases

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-50339
CVE

EPSS

Процентиль: 28%

0.00095

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-50339

CVSS3: 5.3

ubuntu

6 месяцев назад

GLPI is a free asset and IT management software package. Starting in version 9.5.0 and prior to version 10.0.17, an unauthenticated user can retrieve all the sessions IDs and use them to steal any valid session. Version 10.0.17 contains a patch for this issue.

CVE-2024-50339

CVSS3: 5.3

nvd

6 месяцев назад

CVE-2024-50339

CVSS3: 5.3

debian

6 месяцев назад

GLPI is a free asset and IT management software package. Starting in v ...

ROS-20250109-03

CVSS3: 9.8

redos

5 месяцев назад

Множественные уязвимости glpi

EPSS

Процентиль: 28%

0.00095

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2