- Aktif istismar
- CWE-74
CVE-2022-35914
Teclib GLPI htmLawed modülünde PHP kodu enjeksiyonu ile uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 1500 gün
- Kaydı açan
- mitre
Yönetici özeti
GLPI varlık ve destek yönetim sistemindeki bu açık, dışarıdan herhangi bir kişinin sunucuyu ele geçirmesine imkân tanıyor ve aktif olarak istismar edildiği bilinmektedir. Sistemde tutulan envanter ve kullanıcı bilgileri risk altındadır. Güncellemenin gecikmeden uygulanması gerekir.
ÖzetTürkçe
GLPI'nin 10.0.2 sürümüne kadar olan sürümlerinde, htmlawed modülü içindeki htmLawedTest.php dosyası PHP kodu enjeksiyonuna izin vermektedir. Kimlik doğrulaması gerektirmeden ağ üzerinden istismar edilebilen bu zafiyet CVSS 9.8 ile kritik seviyededir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) kataloğuna eklenmiştir. Etkilenen ürün Teclib GLPI'dır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan sunucuda keyfi PHP kodu çalıştırabilir. Bu durum sistemin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
/vendor/htmlawed/htmlawed/htmLawedTest.php in the htmlawed module for GLPI through 10.0.2 allows PHP code injection.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- GLPI'yı satıcının yayımladığı, bu zafiyetin giderildiği güncel sürüme yükseltin; 10.0.2 ve öncesi sürümler etkilenmektedir. Genel öneri
- CISA KEV gereği: güncellemeleri satıcının talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa htmLawedTest.php dosyasına web üzerinden erişimi web sunucusu düzeyinde engelleyin veya dosyayı sunucudan kaldırın. Genel öneri
- Güncelleme sonrasında sunucuda yetkisiz dosya, web kabuğu veya şüpheli süreç olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- GLPI arayüzünü mümkünse internete doğrudan açmayın; VPN veya IP kısıtlaması arkasında tutun. Genel öneri
- Web sunucusu erişim günlüklerinde htmLawedTest.php isteklerini arayın ve olası istismar izlerini inceleyin. Genel öneri
- Web sunucusunu en az yetkili kullanıcıyla çalıştırın ve vendor dizinindeki gereksiz test dosyalarına erişimi kapatın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| glpi-project glpi | ≤ 10.0.2 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- bioinformatics.org/phplabware/sourceer/sourceer.php Diğer
- github.com/glpi-project/glpi/releases Diğer
- glpi-project.org/fr/glpi-10-0-3-disponible Diğer
- packetstormsecurity.com/files/169501/GLPI-10.0.2-Command-Injection.html Diğer
- github.com/Orange-Cyberdefense/CVE-repository Diğer
- github.com/…-repository/blob/master/PoCs/POC_2022-35914.sh Diğer
- mayfly277.github.io/posts/GLPI-htmlawed-CVE-2022-35914 Diğer
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- Etkilenen sürüm bilgisi güncellendi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.