Уязвимость LDAP-инъекции в GLPI при импорте пользователей — CVE-2026-49469

В популярной системе управления ИТ-активами и сервисными процессами GLPI выявлена уязвимость, связанная с инъекцией в LDAP-фильтр. Проблема затрагивает механизм импорта пользователей и позволяет пользователю с невысокими привилегиями обходить ограничения, заданные администратором каталога.

Подробности

Уязвимость получила идентификатор CVE-2026-49469 и оценку CVSS 4.6, что соответствует среднему уровню критичности. Затронуты версии GLPI начиная с 0.70 и до 10.0.26, а также ветка 11.x до 11.0.8 включительно. Продукт: glpi-project glpi.

Суть проблемы — LDAP filter injection в функции импорта пользователей. Аутентифицированный пользователь с ролью hotliner (оператор горячей линии) или technician (техник) может передать специально сформированные критерии поиска, которые изменяют итоговый LDAP-фильтр. В результате запрос выходит за рамки настроенного по умолчанию фильтра и возвращает объекты каталога, которые этот фильтр должен был исключать.

Таким образом, злоумышленник с легитимной, но ограниченной учётной записью способен расширить область видимых данных в LDAP-каталоге. Это нарушает предполагаемую модель разграничения доступа и может привести к раскрытию сведений о пользователях или иных объектах, которые администратор намеренно скрывал через конфигурацию фильтра. Для эксплуатации требуются аутентификация и доступ к функции импорта пользователей, что снижает вероятность массовых атак, но повышает риск в сценариях с недоверенными или скомпрометированными внутренними учётными записями.

Что делать

Разработчики выпустили исправление. Рекомендуется обновить GLPI до версии 11.0.8 или 10.0.26 — в зависимости от используемой ветки. Это наиболее надёжный способ закрыть уязвимость, поскольку патч корректирует обработку критериев импорта и не позволяет манипулировать итоговым LDAP-фильтром.

Если немедленное обновление невозможно, следует рассмотреть временные меры: ограничить круг пользователей, имеющих роли hotliner и technician, а также доступ к функции импорта пользователей; усилить мониторинг запросов к LDAP-каталогу и журналов GLPI на предмет аномальных критериев поиска; проверить конфигурацию LDAP-фильтров и убедиться, что они не полагаются исключительно на клиентскую фильтрацию. Однако эти меры являются компенсирующими и не заменяют установку официального обновления.

Уязвимость CVE-2026-49469 показывает, как ошибки в обработке пользовательского ввода при работе с LDAP могут подрывать даже корректно настроенные фильтры доступа. Несмотря на среднюю оценку CVSS, проблема затрагивает внутренние учётные записи с расширенными, но не административными правами, что делает своевременное обновление до 11.0.8 или 10.0.26 приоритетной задачей для администраторов GLPI.

Источник: CVE Project (cvelistV5)