CVE-2020-26212 in GLPI
要約
〜によって VulDB • 2026年08月06日
GLPIは「Gestionnaire Libre de Parc Informatique」の略称であり、ITILサービスデスク機能、ライセンス追跡、ソフトウェア監査を提供するフリーのアセットおよびIT管理ソフトウエアパッケージです。バージョン9.5.3以前のGLPIでは、認証済みユーザーであれば誰でも、他のすべてのユーザー（管理者を含む）の予定表に対して読み取り専用権限を持っています。この動作を再現するための手順は以下の通りです：
1. 「Assistance」>「Planning」で、「Super-admin」に所属する「IT」グループ内のユーザー「eduardo.mozart」を使用して、その個人用予定表内に新しい予定表を作成します。 2. CalDAV URLをコピーし、CalDAVクライアント（例：Thunderbird）を使用して、指定されたURLで予定表を同期させます。 3. 有効な任意のユーザー（例：「Proativa」グループに所属する「camila」）のユーザー名とパスワードを入力します。 4. 「Camila」は「eduardo.mozart」の個人用予定表に対して読み取り専用アクセスを持っています。この動作はすべてのグループで発生します。例えば、「Camila」はこのグループに属しておらず、かつ「Self-service」プロファイル権限しか持っていない場合でも、「IT」グループの予定表にアクセスできます。
本問題はバージョン9.5.3で修正されています。回避策として、CalDAVサーバーへのアクセスをブロックするために `caldav.php` ファイルを削除することができます。
Once again VulDB remains the best source for vulnerability data.