【CVE-2024-43418】GLPIで反映型XSS脆弱性が発見、バージョン10.0.17へのアップグレードによる対応が必要に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
GLPIバージョン10.0.17未満の反映型XSS脆弱性
GLPIの脆弱性情報まとめ
反映型XSSについて
GLPIの脆弱性対策に関する考察
参考サイト

記事の要約

GLPIに反映型XSS脆弱性が発見される
未認証ユーザーによる悪意のあるリンク攻撃が可能
バージョン10.0.17へのアップグレードで対応

GLPIバージョン10.0.17未満の反映型XSS脆弱性

GitHubは2024年11月15日、資産・IT管理ソフトウェアパッケージGLPIにおいて、反映型XSS脆弱性【CVE-2024-43418】を発見したことを公開した。未認証ユーザーがGLPI技術者に対して悪意のあるリンクを提供することで、反映型XSSの脆弱性を悪用できる可能性が指摘されている。^[1]

この脆弱性はCVSS v3.1で6.5（重要度：中）と評価されており、攻撃元区分はネットワーク、攻撃条件の複雑さは低いとされている。また、攻撃に必要な特権レベルは不要だが、利用者の関与が必要とされており、影響の想定範囲に変更があることも確認された。

GLPIの開発チームは早急な対応を行い、バージョン10.0.17において脆弱性を修正するアップデートをリリースした。影響を受けるバージョンは0.65以上10.0.17未満であり、管理者は速やかにアップグレードを実施することが推奨されている。

GLPIの脆弱性情報まとめ

項目	詳細
CVE番号	CVE-2024-43418
影響を受けるバージョン	0.65以上10.0.17未満
脆弱性の種類	反映型XSS（CWE-79）
CVSS評価	6.5（重要度：中）
攻撃条件	特権不要、利用者の関与が必要
対策方法	バージョン10.0.17へのアップグレード

GLPIの脆弱性情報の詳細はこちら

反映型XSSについて

反映型XSSとは、Webアプリケーションの脆弱性の一種で、ユーザーの入力データが適切にサニタイズされずにそのままWebページに出力される問題のことを指す。主な特徴として、以下のような点が挙げられる。

悪意のあるスクリプトがユーザーの入力として送信される
サーバー側で適切な検証や無害化が行われない
ブラウザ上で悪意のあるスクリプトが実行される

GLPIの反映型XSS脆弱性では、未認証ユーザーが技術者に悪意のあるリンクを送信し、クリックさせることで攻撃が成立する可能性がある。この種の攻撃は特権が不要で攻撃条件の複雑さも低いため、CVSS評価でも中程度の深刻度とされており、早急な対策が推奨されている。

GLPIの脆弱性対策に関する考察

GLPIの反映型XSS脆弱性は、IT資産管理という重要な役割を担うソフトウェアにおいて発見された深刻な問題である。未認証ユーザーでも攻撃が可能という点で、特に技術者をターゲットにした標的型攻撃のリスクが高まる可能性があることが懸念される。この脆弱性の発見は、ユーザー入力の処理における慎重な検証の重要性を改めて浮き彫りにした。

今後は単なる入力値のサニタイズだけでなく、ユーザーの認証状態に応じたアクセス制御の強化や、より包括的なセキュリティ対策の実装が求められる。特に技術者向けの機能については、悪意のある攻撃者からの標的となりやすい点を考慮し、多層的な防御策を講じる必要があるだろう。

GLPIの開発チームには継続的なセキュリティ監査の実施と、脆弱性が発見された際の迅速な対応体制の維持が期待される。またユーザー側でも、不審なリンクへの注意喚起や定期的なバージョン確認など、基本的なセキュリティ対策の徹底が重要になってくるだろう。