Teclib GLPI のリモートコード実行の脆弱性（CVE-2022-35914）

何が起きた

Teclib の GLPI（IT 資産やヘルプデスクを管理するソフト）に、外部の部品 htmlawed が原因の弱点が見つかり、実際に悪用が確認されています。htmlawed に含まれるテスト用のファイル htmLawedTest.php を通じて、PHP のプログラムを送り込まれる（コードインジェクション）おそれがあります。攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、GLPI 10.0.2 までのバージョンを使っている組織が影響を受けます。

何をすればいい

GLPI を 10.0.3 以降に更新してください。GLPI 10.0.3 のリリースノートには、この弱点の修正が含まれています。公式の案内を確認し、使っている GLPI のバージョンを確かめてください。

やることチェックリスト

• GLPI のバージョンを確認する
• GLPI を 10.0.3 以降に更新する
• 10.0.2 以前の GLPI を放置せず更新する

用語メモ

コードインジェクション

攻撃者がプログラムの命令を送り込み、サーバーに実行させる攻撃です。

PHP

ウェブサイトを動かすためによく使われるプログラミング言語です。