プラットフォーム
php
コンポーネント
glpi-inventory-plugin
修正版
1.5.1
GLPI Inventory pluginは、ネットワークディスカバリやソフトウェアデプロイメントなど、GLPIエージェント向けの様々なタスクを処理します。バージョン1.5.0以前には、不適切なアクセス制御の脆弱性が存在します。この脆弱性を悪用されると、攻撃者は機密情報にアクセスできる可能性があります。バージョン1.5.0でこの脆弱性が修正されました。
この脆弱性は、認証されていない攻撃者が、本来アクセス権限がない機密情報にアクセスすることを可能にします。例えば、ネットワーク構成情報、ソフトウェアのバージョン情報、あるいはシステム設定情報などが漏洩する可能性があります。攻撃者は、この情報を悪用して、さらなる攻撃を仕掛けたり、システムを制御しようとする可能性があります。この脆弱性は、GLPI環境全体に影響を及ぼす可能性があり、攻撃者の侵入経路として利用されるリスクがあります。
この脆弱性は、2025年3月25日に公開されました。現時点では、公的なPoCは確認されていませんが、不適切なアクセス制御の脆弱性は、悪用される可能性が高いため、注意が必要です。CISA KEVリストへの登録状況は不明です。
Organizations utilizing GLPI for IT asset management and specifically deploying the Inventory Plugin are at risk. This includes environments with multiple user roles and granular access controls, as the vulnerability could be exploited to escalate privileges and gain unauthorized access to sensitive inventory data. Shared hosting environments running GLPI are also particularly vulnerable, as they may have limited control over plugin updates and security configurations.
• php: Examine GLPI plugin files for insecure access control checks. Search for instances where user authentication or authorization is bypassed.
grep -r 'user_id' /path/to/glpi/plugins/inventory/ • generic web: Monitor GLPI access logs for unusual activity, such as requests to plugin endpoints from unauthorized IP addresses or user accounts.
grep "Unauthorized" /var/log/apache2/access.log | grep /plugins/inventory/ disclosure
エクスプロイト状況
EPSS
0.20% (41% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への最も効果的な対策は、GLPI Inventory pluginをバージョン1.5.0にアップデートすることです。アップデートが困難な場合は、アクセス制御の強化を検討してください。例えば、不要な機能の無効化、アクセス権限の厳格化、ネットワークセグメンテーションの導入などが考えられます。また、WAF（Web Application Firewall）を導入し、不審なアクセスを検知・遮断することも有効です。アップデート後、アクセスログを確認し、不正なアクセスがないか確認してください。
Actualice el plugin GLPI Inventory a la versión 1.5.0 o superior. Esta versión contiene la corrección para la vulnerabilidad de control de acceso inadecuado. La actualización se puede realizar a través del panel de administración de GLPI o descargando la nueva versión desde el sitio web oficial del plugin.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-27147は、GLPI Inventory pluginのバージョン1.5.0以前における、認証されていない攻撃者が機密情報にアクセスできる不適切なアクセス制御の脆弱性です。
GLPI Inventory pluginのバージョン1.5.0以前を使用している場合、この脆弱性の影響を受ける可能性があります。攻撃者は機密情報にアクセスし、システムを悪用する可能性があります。
GLPI Inventory pluginをバージョン1.5.0にアップデートすることで、この脆弱性を修正できます。
現時点では、公的なPoCは確認されていませんが、不適切なアクセス制御の脆弱性は、悪用される可能性が高いため、注意が必要です。
GLPIの公式アドバイザリは、GLPIのウェブサイトで確認できます。