Vulnerabilidad en los permisos para la planificación de usuarios en GLPI (Gestionnaire Libre de Parc Informatique) (CVE-2020-26212)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

25/11/2020

Última modificación:

07/12/2020

Descripción

GLPI son las siglas de Gestionnaire Libre de Parc Informatique y es un paquete de software gratuito de gestión de activos y TI, que proporciona funciones de ITIL Service Desk, seguimiento de licencias y auditoría de software.&#xa0;En GLPI antes de la versión 9.5.3, cualquier usuario autenticado tiene permisos de solo lectura para la planificación de todos los demás usuarios, inclusive los administradores.&#xa0;Pasos para reproducir el comportamiento: 1. Cree una nueva planificación con el usuario "eduardo.mozart" (del grupo "TI" que pertenece a "Super-admin&#39;") en su planificación personal en "Assistance" ) "Planning".&#xa0;2. Copie la URL de CalDAV y utilice un cliente de CalDAV (por ejemplo, Thunderbird) para sincronizar la planificación con la URL proporcionada.&#xa0;3. Informar el nombre de usuario y la contraseña de cualquier usuario válido (por ejemplo, "camila" del grupo "Proativa").&#xa0;4. "Camila" tiene acceso de solo lectura a "eduardo.mozart"&#xa0;planificación personal.&#xa0;El mismo comportamiento le ocurre a cualquier grupo.&#xa0;Por ejemplo, "Camila" tiene acceso a la planificación grupal de "TI", inclusive si no pertenece a este grupo y tiene un permiso de perfil de "Self-service").&#xa0;Este problema se solucionó en la versión 9.5.3.&#xa0;Como solución alternativa, se puede eliminar el archivo "caldav.php" para bloquear el acceso al servidor CalDAV

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.50

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:L/Au:S/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.00 MEDIA
Vector: AV:N/AC:L/Au:S/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Simple
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno