ÁREA DO CLIENTE

Detectado Bug de Segurança no GLPi

Nesta semana, nossa equipe de testes e desenvolvimento descobriu um BUG grave no sistema GLPi que permite a manipulação e injeção de código SQL de forma maliciosa por parte de um atacante.

NOTA IMPORTANTE
Os Clientes do serviço GLPi em nuvem da Verdanatech já estão seguros quanto a este risco desde sua descoberta.

Por questões de segurança, não comentaremos como o ataque funciona. Mas, fazendo valer os princípios e valores praticados pela Verdanatech, mantendo total transparência e respeito a nosso compromisso com a Comunidade de usuários do sistema GLPi no Brasil e no mundo e, principalmente com nossos Clientes, tornamos público por meio desta Nota a existência do Risco de Segurança, bem como a sua eliminação.

Ações já realizadas

Ao mapear o incidente e entender que trata-se de Grande Impacto, a Verdanatech contatou diretamente os desenvolvedores oficiais do Projeto GLPi para relato do BUG e de seu risco.

Tomamos como decisão não abrir uma ISSUE padrão no repositório GIT do Projeto, como é de costume, para que os métodos de exploração da vulnerabilidade não pudessem ser explorados por pessoas mal intencionadas.

Versões afetadas

Este erro afeta as versões anteriores a 9.4 que permitem a opção de usar abertura de chamados sem o recurso de Texto Rico (recursos html e imagens na abertura de chamados).

Solução

Embora seja um erro crítico que pode permitir ao atacante obter informações de forma indevida a seu sistema ou até mesma apagar sua base de dados, dependendo do ambiente, sua solução é bastante simples e pode ser feita sem a manipulação de qualquer código. Tornando necessário apenas realizar ajustes no sistema.

Para solucionar o problema, basta ativar o recurso Texto Rico no sistema. Abaixo, apresentamos como executar isso no seu ambiente:

Passo 1 – Acesse o seu sistema com uma conta de administrador

Passo 2 – Selecione: Menu principal > Configurar > Geral

3 – Agora, acesse a aba “Assistência” e marque a opção “Usar texto rico para helpdesk” como “SIM”. Feito isso, basta clicar em no botão “Salvar” e sua base não estará mais vulnerável.

Esperamos que tenhamos contribuído com este pequeno post e que isso lhe ajude a evitar problemas no futuro.


About The Author

Halexsandro de Freitas Sales
Halexsandro de Freitas Sales

Ativo no mercado de tecnologia desde 2002. De 2006 a 2015, atuou em empresas de construção civil de grande porte e no segmento de Óleo e Gás, no Brasil e em Angola . Atualmente, trabalha na Verdanatech Soluções em TI (www.verdanatech.com) na área de gestão e desenvolvimento de equipes, desenvolvimento de produtos, e consultoria. Atua como Professor do ensino superior, ministrando disciplinas como: Gerenciamento de Redes, Gerenciamento de Serviços, Programação em Shell Script, Qualidade de Serviços em Redes, Interconexão de Redes de Computadores e ITIL®, Linux LPI 101 e 102, dentre outras. É autor do único livro sobre Service Desk com GLPI em Português: "Central de Serviços com Software Livre: Estruturando uma Central de Serviços com o GLPI" que está em sua 2ª edição.


Related Articles


Comments (3)

  • Detectado bug de segurança grave no GLPI – Arthur Schaefer

  • Domingo Oropeza

    13 de junho de 2019 09:21
    Hola, ¿ya reportaste el bug en repositorio del proyecto? Así los desarrolladores podrán evaluar el problema y realizar el respectivo ajuste de seguridad para todos los que la usen y las próximas versiones. Acá tienes el link directo para hacerlo https://github.com/glpi-project/glpi/issues/new?template=bug_report.md

    Reply


    • Halexsandro de Freitas Sales

      13 de junho de 2019 15:39
      #ptBR Olá Domingo, Obrigado pelo contato. Tratamos diretamente com os desenvolvedores o assunto para não expor nenhum usuário a vulnerabilidade. As ações já estão sendo tomadas pela equipe de desenvolvimento. - #ES Hola Domingo, Gracias por el contacto. Tratamos directamente con los desarrolladores el tema para no exponer a ningún usuario la vulnerabilidad. Las acciones ya están siendo tomadas por el equipo de desarrollo.

      Reply


Leave a Comment

Your email is never published nor shared. Required fields are marked *

You may use these HTML tags and attributes:
<a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code class="" title="" data-url=""> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong> <pre class="" title="" data-url=""> <span class="" title="" data-url="">
*
*