Aller au contenu

Linux Faille Haute 9,4

OCS Inventory NG : six failles non corrigées (injections SQL, envoi de fichier, XSS), Debian 12 vulnérable

Six failles touchent l'interface web d'OCS Inventory NG : envoi de fichier PHP (CVSS 9,4), injections SQL (8,6), SSRF et XSS. La plupart demandent un compte administrateur ou opérateur. Debian 12 n'a pas de correctif : restreindre l'accès à la console.

par Frédéric Vagner · publié le

Sévérité
Haute CVSS 9,4 / 10
CVE
CVE-2026-76174 CVE-2026-76175 CVE-2026-76176 CVE-2026-76177 CVE-2026-76178 CVE-2026-22675
Produits
DebianOCS Inventory
Versions touchées
OCS Inventory NG Server (ocsreports) jusqu'à 2.12.3 au moins ; Debian 12 : 2.8.1+dfsg1+~2.11.1-1
Versions corrigées
Version amont corrigée : à confirmer ; Debian : aucun correctif (« no DSA, postponed »)
Correctif
Pas encore de correctif
Source
security-tracker.debian.org ↗

Qui est concerné ?

Les serveurs OCS Inventory NG (inventaire de parc) dont la console web /ocsreports est accessible. La CVE-2026-22675 touche les versions 2.12.3 et antérieures ; les cinq autres (publiées le 03/09/2026) concernent l'interface d'administration. Le paquet Debian 12 (ocsinventory-server 2.8.1+dfsg1+~2.11.1-1) est marqué vulnérable et reporté (« no DSA, postponed ») ; Debian 13 n'a pas ce paquet.

Risque

CVEFaillePrérequisCVSS v4
CVE-2026-76174Envoi de fichier non restreint (CSV, endpoint admin_info) : dépôt d'un fichier PHP et exécution de code avec les droits du serveur webAdministrateur9,4
CVE-2026-76178XSS stocké dans les modèles de notificationAdministrateur9,2
CVE-2026-76175Injection SQL (paramètre del_check, save_query_list)Opérateur8,6
CVE-2026-76176Injection SQL (admin_double, champ selected_grp_dupli[])Opérateur8,6
CVE-2026-76177SSRF (tele_activate, paramètres HTTPS_SERV et FILE_SERV)Utilisateur authentifié7,1
CVE-2026-22675XSS stocké via l'en-tête User-Agent envoyé à /ocsinventoryAucun (non authentifié) ; le script s'exécute chez un administrateur5,1 (v3.1 : 5,4 à 6,1)

Scores relevés dans la base NVD. L'exploitation active n'est pas confirmée (absente du catalogue CISA KEV au 23/10/2026).

Corriger

Passer à la dernière version d'OCS Inventory NG publiée par le projet : le numéro de version corrigée n'a pas pu être confirmé depuis nos sources (le site du projet et GitHub étaient inaccessibles), à confirmer. Sur Debian 12, aucun paquet corrigé n'existe à ce jour.

Contournement

  • Limiter l'accès à /ocsreports par adresse IP ou VPN.
  • Réduire les comptes administrateur et opérateur au strict nécessaire, mots de passe forts et uniques.
  • Vérifier que le dossier d'envoi de l'application n'exécute pas de PHP (désactiver l'interprétation PHP dans les répertoires d'upload).
  • Surveiller les fichiers .php récents sous le répertoire de l'application.
# Apache : restreindre la console à un réseau de confiance
<Location "/ocsreports">
    Require ip 192.0.2.0/24
</Location>

Vérifier

dpkg -l ocsinventory-server | tail -1
find /usr/share/ocsinventory-reports -name '*.php' -mtime -30 | head

À lire aussi