CVE-2020-5248
उच्चप्रकाशित
सार्वजनिक GLPIKEY का उपयोग GLPI में किसी भी डेटा को डिक्रिप्ट करने के लिए किया जा सकता है
- प्रकाशित
- 12 मई 2020
- अद्यतन
- 4 अग॰ 2024
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 17 अग॰ 2026
प्राथमिक सीवीएसएस
7.2/ 10उच्च
सार्वजनिक GLPIKEY का उपयोग GLPI में किसी भी डेटा को डिक्रिप्ट करने के लिए किया जा सकता है
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:H/PR:H/UI:N/S:C/C:H/I:H/A:Nकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
# GLPI 9.4.6 से पहले के संस्करणों में डिफ़ॉल्ट एन्क्रिप्शन कुंजी भेद्यता GLPI संस्करण 9.4.6 से पहले के संस्करणों में डिफ़ॉल्ट एन्क्रिप्शन कुंजी से संबंधित एक भेद्यता मौजूद है। GLPIKEY सार्वजनिक है और हर इंस्टेंस पर उपयोग किया जाता है। इसका मतलब है कि कोई भी व्यक्ति इस कुंजी का उपयोग करके संग्रहीत संवेदनशील डेटा को डिक्रिप्ट कर सकता है। GLPI इंस्टॉल करने से पहले कुंजी को बदलना संभव है। लेकिन मौजूदा इंस्टेंस पर, डेटा को नई कुंजी के साथ पुनः एन्क्रिप्ट किया जाना चाहिए। समस्या यह है कि हम यह नहीं जान सकते कि डेटाबेस में कौन से कॉलम या पंक्तियाँ इसका उपयोग कर रही हैं; विशेष रूप से प्लगइन्स से। डेटा को अपडेट किए बिना कुंजी बदलने से GLPI से भेजे गए गलत पासवर्ड होंगे; लेकिन उन्हें UI से दोबारा संग्रहीत करने पर काम होगा।
CVE-2020-5248
CVE-2020-5248 के लिए प्रूफ ऑफ कॉन्सेप्ट (PoC)
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।