CVE-2022-35914

O código vulnerável é o test harness incluído do htmLawed, especificamente o htmLawedTest.php distribuído dentro do módulo htmlawed do GLPI até a versão 10.0.2. Esse arquivo de teste passa parâmetros de requisição para o PHP de uma forma que permite a um atacante não autenticado injetar e executar código PHP arbitrário simplesmente enviando uma requisição HTTP elaborada ao script exposto. Não há etapa de autenticação nem interação do usuário, de modo que alcançar o endpoint equivale a executar código como o usuário do servidor web.

O GLPI é uma plataforma de código aberto amplamente implantada para gestão de ativos de TI e de serviços, então as instâncias vulneráveis tendem a conter dados de inventário, chamados e, muitas vezes, credenciais dos ambientes que gerenciam. O endpoint é um arquivo de teste residual que nunca deveria estar acessível em produção, exatamente o tipo de artefato que os defensores esquecem que está presente. A exploração pública veio rapidamente e foi incorporada a campanhas comuns de varredura e de mineração de criptomoedas. Atualize o GLPI para além da versão 10.0.2 e, se a instância estava exposta à internet, exclua ou bloqueie o acesso ao script de teste htmLawed e verifique a presença de web shells e processos PHP inesperados, em vez de presumir que uma correção fecha a exposição retroativamente.