Hintergrund
Ein Sicherheitsbericht des CERT-Bund (WID-SEC-2026-2503) warnt, dass ein entfernter, anonymer oder authentisierter Angreifer mehrere Schwachstellen in der Open‑Source‑Ticketing‑Software Znuny ausnutzen kann, um Informationen offenzulegen.
Betroffene Software
Znuny, das aus dem früheren OTRS‑Projekt hervorgegangen ist, wird von zahlreichen Unternehmen und Behörden als Help‑Desk‑Lösung eingesetzt. Die Software verarbeitet häufig vertrauliche Anfragen, Kundendaten und interne Kommunikation.
Art der Schwachstellen
Der Bericht beschreibt mehrere technische Fehlkonfigurationen und Programmierfehler, die es einem Angreifer ermöglichen, ohne ausreichende Berechtigung auf gespeicherte Daten zuzugreifen. Zu den genannten Problemen gehören unter anderem unzureichende Eingabevalidierung und fehlerhafte Zugriffskontrollen.
Potenzielle Auswirkungen
Durch die Ausnutzung der Schwachstellen können Angreifer Daten aus dem Ticket‑System einsehen, darunter personenbezogene Informationen, interne Vorgänge und geschäftskritische Details. Ein solcher Datenverlust kann das Vertrauen von Kunden und Partnern beeinträchtigen.
Empfohlene Gegenmaßnahmen
Der CERT-Bund rät Betreibern von Znuny, unverzüglich die von den Entwicklern bereitgestellten Sicherheitspatches zu installieren. Zusätzlich sollten Systeme auf aktuelle Versionen aktualisiert und Log‑Dateien auf verdächtige Aktivitäten überwacht werden.
Weiteres Vorgehen
Organisationen werden aufgefordert, ihre Installationen zu prüfen, um festzustellen, ob sie von den beschriebenen Schwachstellen betroffen sind. Bei Unsicherheiten soll der technische Support des Herstellers kontaktiert werden.
Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).
Ende der Uebertragung