注意！GLPI ITSM 工具漏洞可致攻击者注入恶意 SQL 查询语句

GLPI 是一款被广泛使用的开源 IT 服务管理（ITSM）平台，其中存在一个严重漏洞，被追踪为 CVE-2025-24799。该漏洞使得未经身份验证的攻击者能够通过资产清单端点执行 SQL 注入攻击。

这一缺陷可能导致远程代码执行（RCE），从而有可能使受影响的 IT 服务管理平台被完全攻陷。

该漏洞影响 GLPI 10.0.17 版本以及可追溯至 10.0.0 版本的所有早期版本。强烈建议使用这一广受欢迎的资产管理解决方案的机构立即更新到 10.0.18 版本，该版本包含必要的安全补丁。

CVE-2025-24799——GLPI 中的 SQL 注入漏洞

该漏洞源于 GLPI 代理功能内对 SQL 查询的净化处理不足，具体来说是在 /src/Agent.php 文件中的 handleAgent 函数里。这个用于资产清单用途的组件在处理 HTTP 请求时没有进行适当的验证，从而让攻击者能够注入恶意 SQL 命令。

一个典型的攻击序列如下：

1.攻击者向资产清单端点发送精心构造的 HTTP 请求。

2.未经净化处理的输入由数据库引擎进行处理。

3.注入的 SQL 命令以数据库用户权限执行。

4.根据系统配置，有可能会提升权限以实现远程代码执行。

这一漏洞特别危险，因为它无需身份验证，为那些针对暴露在互联网上的 GLPI 实例的恶意行为者提供了一个开放的攻击途径。该攻击可能会导致对敏感数据的未经授权访问，并且在某些情况下，使攻击者能够在受影响的服务器上编写和执行任意代码。

鉴于成功利用该漏洞将使远程攻击者能够在被攻陷的系统上运行任意 SQL 语句，这一漏洞被归类为 “高” 严重级别。

该漏洞是由 Lexfo 的安全研究人员发现并报告的。以下是该漏洞的总结：

缓解建议

安全专家建议立即采取以下措施：

1.尽快更新到 GLPI 10.0.18 版本。

2.实施网络安全控制措施，以限制对 GLPI 实例的访问。

3.监控系统，防范潜在的利用尝试。

4.对 GLPI 部署进行安全审计。

使用 GLPI 的机构应优先进行此次更新，以保护关键的 IT 资产和敏感信息免受这一重大安全威胁。