venomnis/cve-2020-5248CVE-2020-5248 の概念実証（PoC）。
CVE-2020-5248 の概念実証 (PoC)
GLPI のバージョン 9.4.6 以前には、デフォルトの暗号化キーに関する脆弱性があります。GLPIKEY は公開されており、すべてのインスタンスで使用されています。つまり、誰でもこのキーを使用して保存された機密データを復号化できます。GLPI をインストールする前にキーを変更することは可能です。しかし、既存のインスタンスでは、新しいキーでデータを再暗号化する必要があります。問題は、データベース内のどのカラムや行がそのキーを使用しているか、特にプラグインからは分からないことです。キーを変更してもデータを更新しないと、GLPI から送信されるパスワードが不正になりますが、UI から再度保存すれば機能します。
https://github.com/venomnis/CVE-2020-5248/blob/main/decrypt_any.php にある "INSERT_COIN" 文字列を、復号化したい文字列に置き換えてください。
