GLPI : 680 instances en France affectées par deux graves vulnérabilités

La plateforme de gestion de la surface d’attaque exposée Onyphe vient d’ajouter le support de la détection des vulnérabilités CVE-2025-24799 et CVE-2025-24801 de GLPI. 

Fort de ces capacités, Onyphe.io a identifié, au 13 mars à 10h, 6 929 instances GLPI exposées directement sur Internet, dont près de la moitié, 3035, sont affectées. Bon nombre sont déployées en France : 680 instances vulnérables.

La première vulnérabilité, référencée CVE-2025-24799, relève d’une faille dans une fonction PHP habituellement utilisée pour effectuer les inventaires via l’agent GLPI. Las, elle accepte les entrées sans authentification. Elle permet ainsi à un attaquant de lancer une injection SQL en envoyant une requête XML.

Après cette première étape, un assaillant peut aller plus loin en exploitant la vulnérabilité référencée CVE-2025-24801. Onyphe explique, dans un communiqué, qu’un attaquant non authentifié peut dès lors « accéder à des jetons API d’authentification stockés en clair dans la base de données », les utiliser pour dûment s’authentifier, et procéder à une exécution de code à distance. 

Le Français Lexfo a publié hier un billet de blog détaillant la manière d’enchaîner l’exploitation de ces deux vulnérabilités. La découverte du procédé remonte en fait à la fin décembre 2024. Les rapports correspondants ont été validés le 28 janvier dernier. Une version corrigée de GLPI est disponible depuis le 12 février.