CVE-2025-53105は、GLPI（Gestionnaire Libre de Parc Informatique）における権限昇格の脆弱性です。攻撃者は、管理者権限を持たないユーザーとしてシステムにログインし、ルール実行順序を不正に変更することで、本来アクセスできない機能やデータにアクセスできるようになる可能性があります。この脆弱性は、GLPIバージョン10.0.0から10.0.19に影響を与え、バージョン10.0.19で修正されました。
この脆弱性を悪用されると、攻撃者はGLPIシステム内の機密情報にアクセスしたり、システム設定を不正に変更したりする可能性があります。例えば、ユーザーアカウント情報を取得し、他のユーザーになりすましてシステムに侵入したり、ソフトウェアライセンス情報を盗み出して不正利用したりすることが考えられます。さらに、ルール実行順序の変更により、本来制限された機能が有効化され、システム全体のセキュリティが損なわれるリスクがあります。この脆弱性の影響範囲は、GLPIシステムを利用している組織全体に及ぶ可能性があります。
この脆弱性は、CISA KEVカタログに登録されていません。現時点で、この脆弱性を悪用した公開されているPoCは確認されていませんが、GLPIの脆弱性は過去に悪用事例があるため、注意が必要です。NVD（National Vulnerability Database）は2025年8月27日にこの脆弱性を公開しました。
Organizations heavily reliant on GLPI for IT asset management and service desk functionality are at significant risk. Specifically, deployments with a large number of users who do not have administrative privileges are particularly vulnerable, as these users represent the potential attack vector. Shared hosting environments where multiple users share a single GLPI instance also face increased risk.
• wordpress / composer / npm:
grep -r 'rule_execution_order' /var/www/html/glpi/• generic web:
curl -I http://your-glpi-server/index.php?app=rules&module=rule_execution_orderdisclosure
エクスプロイト状況
EPSS
0.08% (23% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずGLPIをバージョン10.0.19にアップデートすることを推奨します。アップデートが困難な場合は、一時的な回避策として、ルール実行順序の変更を制限するカスタムルールを作成することを検討してください。また、WAF（Web Application Firewall）を導入し、不正なルール実行順序の変更を試みる攻撃を検知・遮断することも有効です。GLPIのアクセスログを定期的に監視し、不審なアクティビティがないか確認することも重要です。アップデート後、GLPIのセキュリティ設定を確認し、不要な機能が無効化されていることを確認してください。
Actualice GLPI a la versión 10.0.19 o superior. Esta versión contiene la corrección para la vulnerabilidad que permite a usuarios no autorizados cambiar el orden de ejecución de las reglas. La actualización se puede realizar a través del panel de administración de GLPI o descargando la última versión desde el sitio web oficial.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2025-53105は、GLPIバージョン10.0.0から10.0.19において、管理者権限を持たないユーザーがルール実行順序を変更できる脆弱性です。これにより、攻撃者は本来アクセスできない機能やデータにアクセスできるようになる可能性があります。
GLPIのバージョンが10.0.0から10.0.19のいずれかである場合、この脆弱性に影響を受ける可能性があります。バージョン10.0.19以降にアップデートすることで、この脆弱性を解消できます。
GLPIをバージョン10.0.19にアップデートすることで、この脆弱性を修正できます。アップデートが困難な場合は、一時的な回避策として、ルール実行順序の変更を制限するカスタムルールを作成することを検討してください。
現時点で、この脆弱性を悪用した公開されているPoCは確認されていませんが、GLPIの脆弱性は過去に悪用事例があるため、注意が必要です。
GLPIの公式アドバイザリは、GLPIのウェブサイトで確認できます。https://glpi.net/security