CVE-2022-35914

El código vulnerable es el arnés de prueba incluido de htmLawed, específicamente htmLawedTest.php que viene dentro del módulo htmlawed de GLPI hasta la versión 10.0.2. Ese archivo de prueba pasa parámetros de la solicitud a PHP de una forma que permite a un atacante no autenticado inyectar y ejecutar código PHP arbitrario simplemente enviando una solicitud HTTP diseñada al script expuesto. No hay paso de autenticación ni interacción del usuario, por lo que alcanzar el endpoint equivale a ejecutar código como el usuario del servidor web.

GLPI es una plataforma de código abierto ampliamente implementada para la gestión de activos y servicios de TI, así que las instancias vulnerables tienden a contener datos de inventario, tickets y a menudo credenciales de los entornos que administran. El endpoint es un archivo de prueba residual que nunca debería haber sido alcanzable en producción, que es exactamente el tipo de artefacto que los defensores olvidan que está presente. La explotación pública siguió rápidamente y se ha incorporado a campañas de escaneo y criptominería de uso general. Actualice GLPI más allá de la 10.0.2 y, si la instancia estaba expuesta a internet, elimine o bloquee el acceso al script de prueba de htmLawed y busque web shells y procesos PHP inesperados en lugar de suponer que un parche cierra la exposición de forma retroactiva.