Ein kürzlich veröffentlichter Sicherheitshinweis des CERT‑Bund warnt vor einer Reihe von Schwachstellen im Open‑Source‑Ticket‑System Zammad, die es einem entfernten, anonymen Angreifer erlauben, beliebigen Programmcode mit Benutzerrechten auszuführen und anschließend Root‑Rechte zu erlangen.
Hintergrund
Zammad wird von Unternehmen und öffentlichen Einrichtungen zur Verwaltung von Kunden‑ und Support‑Anfragen eingesetzt. Die Software basiert auf Ruby on Rails und nutzt gängige Web‑Technologien, wodurch sie in vielen IT‑Umgebungen verbreitet ist.
Betroffene Komponenten
Der Advisory identifiziert mehrere unabhängige Schwachstellen, darunter eine fehlerhafte Eingabevalidierung in der API, eine unzureichende Zugriffskontrolle bei Dateiuploads und eine fehlerhafte Session‑Handhabung. Jede dieser Lücken kann separat ausgenutzt werden, um Code mit den Rechten des betroffenen Benutzers auszuführen.
Ausnutzungsweg
Ein Angreifer, der über das Internet Zugriff auf das Zammad‑Frontend erlangt, kann manipulierte Anfragen senden, die die genannten Schwachstellen triggern. Durch die Kombination von Codeausführung auf Benutzerebene und einer lokalen Privilegien‑Escalation lässt sich anschließend das Root‑Konto des Servers übernehmen.
Mögliche Folgen
Der erfolgreiche Angriff ermöglicht das Einschleusen von Schadsoftware, das Auslesen sensibler Ticket‑Daten und die vollständige Kontrolle über das betroffene System. In Unternehmensumgebungen kann dies zu erheblichen Betriebsunterbrechungen und Datenschutzverletzungen führen.
Gegenmaßnahmen
Der Hersteller hat bereits einen Patch veröffentlicht, der die fehlerhaften Komponenten korrigiert. Der Advisory empfiehlt allen Betreibern, die neueste Version umgehend zu installieren, nicht mehr benötigte Dienste zu deaktivieren und die Log‑Dateien auf verdächtige Aktivitäten zu prüfen.
Ausblick
Weitere Analysen sollen klären, ob zusätzliche Vektoren für die Ausnutzung existieren. Betreiber werden aufgefordert, regelmäßige Sicherheitsüberprüfungen durchzuführen und ein Monitoring für ungewöhnliche System‑ und Netzwerkaktivitäten einzurichten.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung