Een kritiek beveiligingslek is ontdekt in GLPI, een veelgebruikte software voor IT-beheer, die toelaat dat een verbonden gebruiker de reserveringen van een andere gebruiker kan wijzigen. Dit probleem treft versies van 0.78 tot en met 10.0.18 en kan leiden tot ongeautoriseerde wijzigingen die de integriteit en vertrouwelijkheid in gevaar brengen. De kwetsbaarheid, CVE-2025-53357, maakt gebruik van een omzeiling van de autorisatiecontrole (CWE-639), waarbij gebruikers sleutels beheersen.
Overzicht
Deze kwetsbaarheid, geïdentificeerd als CVE-2025-53357, stelt gebruikers zonder administratieve rechten in staat om reserveringen van anderen te wijzigen. Dit gebeurt door een omzeiling van de autorisatie, wat mogelijk is gemaakt door gebruik te maken van sleutelbeheersing door de gebruiker. Hoewel de basisimpact als medium is beoordeeld met een CVSS-score van 5.4, blijven de integriteit en het vertrouwen van het systeem geschaad.
Aanbevelingen
- Upgrade naar GLPI versie 10.0.19 om deze kwetsbaarheid te verhelpen.
- Controleer gebruikerstoegangsniveaus en beperk zodanig dat alleen noodzakelijke gebruikers toegang hebben tot bepaalde functies.
Bronnen
Vraag en Antwoord
1. Wat is CVE-2025-53357?
CVE-2025-53357 is een kwetsbaarheid die gebruikers toelaat om zonder juiste machtigingen reserveringen binnen de GLPI-software te wijzigen.
2. Welke systemen zijn kwetsbaar voor CVE-2025-53357?
Alle GLPI-versies van 0.78 tot en met 10.0.18 zijn kwetsbaar voor deze kwetsbaarheid.
3. Bestaat er al een patch of beveiligingsupdate?
Ja, update naar versie 10.0.19 om de kwetsbaarheid te verhelpen.
4. Wat kan een aanvaller met deze kwetsbaarheid?
Een aanvaller kan reserveringen wijzigen zonder toestemming, wat kan leiden tot ongewenste wijzigingen en mogelijke schending van integriteit en vertrouwelijkheid.
