Updated glpi package fixes security vulnerabilities :

Due to a bug in GLPI before 0.84.7, a user without access to cost information can in fact see the information when selecting cost as a search criteria (CVE-2014-5032).

An issue in GLPI before 0.84.8 may allow arbitrary local files to be included by PHP through an autoload function (CVE-2014-8360).

SQL injection vulnerability in ajax/getDropdownValue.php in GLPI before 0.85.1 allows remote authenticated users to execute arbitrary SQL commands via the condition parameter (CVE-2014-9258).

fix SQL injection

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

更新 glpi パッケージは、セキュリティの脆弱性を修正しています：

0.84.7 より前の GLPI のバグにより、コスト情報にアクセスできないユーザーが、検索条件としてコストを選択したときにこの情報が実際には見える可能性があります（CVE-2014-5032）。

0.84.8 より前の GLPI の問題により、任意のローカルファイルが、自動ロード関数を通じて PHP に含まれる可能性があります（CVE-2014-8360）。

0.85.1 より前の GLPI において、ajax/getDropdownValue.php にある SQL インジェクションの脆弱性により、リモートの認証されたユーザーが、条件パラメーターを通じて、任意の SQL コマンドを実行することが可能です（CVE-2014-9258）。

SQL インジェクションを修正します

注意：Tenable Network Security は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

更新版 glpi 套件可修正安全性弱點：

由於 0.84.7 版之前的 GLPI 中存在一個錯誤，無法存取成本資訊的使用者在將成本選為搜尋標準時，實際上仍可查看該資訊 (CVE-2014-5032)。

0.84.8 版之前的 GLPI 中存在一個錯誤，進而允許 PHP 透過自動載入函式來插入任意本機檔案 (CVE-2014-8360)。

在 0.85.1 之前的 GLPI 中，ajax/getDropdownValue.php 內的 SQL 插入弱點允許經驗證的遠端使用者透過條件參數執行任意 SQL 命令 (CVE-2014-9258)。

修正 SQL 插入

請注意，Tenable Network Security 已直接從 Fedora 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

修复 SQL 注入

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

更新后的 glpi 程序包修复了安全漏洞：

由于低于 0.84.7 版本的 GLPI 中存在一个缺陷，没有成本信息访问权限的用户在搜索条件中选择成本后，实际上能够看到该信息 (CVE-2014-5032)。

低于 0.84.8 版本的 GLPI 中存在一个问题，可能允许通过自动加载功能将任意本地文件包含在 PHP 中 (CVE-2014-8360)。

低于 0.85.1 版本的 GLPI 中的 ajax/getDropdownValue.php 存在 SQL 注入漏洞，允许远程认证用户通过条件参数执行任意 SQL 命令 (CVE-2014-9258)。

ID	名稱	產品	系列	已發布	已更新	嚴重性
82420	Mandriva Linux Security Advisory : glpi (MDVSA-2015:167)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
80312	Fedora 19 : glpi-0.83.9.1-5.fc19 (2014-17508)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80311	Fedora 21 : glpi-0.84.8-3.fc21 (2014-17497)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80313	Fedora 20 : glpi-0.84.8-3.fc20 (2014-17520)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
82420	Mandriva Linux セキュリティアドバイザリ：glpi（MDVSA-2015:167）	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
80311	Fedora 21：glpi-0.84.8-3.fc21（2014-17497）	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80312	Fedora 19：glpi-0.83.9.1-5.fc19（2014-17508）	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80313	Fedora 20：glpi-0.84.8-3.fc20（2014-17520）	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
82420	Mandriva Linux 安全性公告：glpi (MDVSA-2015:167)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
80311	Fedora 21：glpi-0.84.8-3.fc21 (2014-17497)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80311	Fedora 21：glpi-0.84.8-3.fc21 (2014-17497)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
82420	Mandriva Linux 安全公告：glpi (MDVSA-2015:167)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	high
80312	Fedora 19：glpi-0.83.9.1-5.fc19 (2014-17508)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80313	Fedora 20：glpi-0.84.8-3.fc20 (2014-17520)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80312	Fedora 19：glpi-0.83.9.1-5.fc19 (2014-17508)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium
80313	Fedora 20：glpi-0.84.8-3.fc20 (2014-17520)	Nessus	Fedora Local Security Checks	2015/1/2	2021/1/11	medium

偵測

搜尋 Plugin

high

medium

medium

medium

high

medium

medium

medium

high

medium

medium

high

medium

medium

medium

medium