Chiếm quyền phiên dẫn đến thực thi mã từ xa trong Zammad của Zammad GmbH

Các phiên bản Zammad từ 6.3.0 đến 6.5.4 dễ bị tấn công bởi lỗ hổng chiếm quyền phiên, dẫn đến thực thi mã từ xa với quyền của người dùng zammad. Lỗi này cũng hiện diện trong các phiên bản từ 7.0.0 đến 7.1.2, nhưng không thể khai thác do những thay đổi trong framework nền tảng.

• Trang CNA của DIVD liệt kê triển khai Zammad trên Linux hoặc Docker với phạm vi bị ảnh hưởng là >= 6.3.0 và < 6.5.4.
• Mô tả gốc được cung cấp lại ghi 6.3.0 đến 6.5.4, mâu thuẫn với ranh giới có cấu trúc < 6.5.4 của CNA. Do đó, không nên tự suy luận trạng thái của 6.5.4 là an toàn hoặc bị ảnh hưởng chỉ từ mô tả gốc.
• Trang case cập nhật của DIVD liệt kê 7.0.0 đến 7.1.3 là có chứa lỗi nhưng không thể khai thác do điều kiện môi trường. Advisory của Zammad cho biết 7.0 và các phiên bản sau đó không bị ảnh hưởng trong thực tế, đồng thời thay đổi hardening được đưa vào 7.2.0.
• Trạng thái của các phiên bản thấp hơn 6.3.0 và các nhánh nằm ngoài các phạm vi trên chưa được CNA xác lập đầy đủ.

Zammad của Zammad GmbH được mô tả có lỗi chiếm quyền phiên, được dữ liệu CNA ánh xạ vào CWE-384, Session Fixation. Kẻ tấn công có thể tiếp cận dịch vụ qua mạng, lấy hoặc tái sử dụng một phiên hợp lệ và đạt được khả năng thực thi mã với quyền của tài khoản dịch vụ zammad; bằng chứng hiện có chưa công bố input phiên, endpoint và chuỗi thực thi cụ thể. Đánh giá được cung cấp cho biết không cần có quyền trước đó. Yêu cầu tương tác người dùng chưa được xác định thống nhất: một đánh giá ghi nhận tương tác thụ động, trong khi đánh giá khác ghi nhận không cần tương tác. Theo Zammad, việc khai thác phụ thuộc vào runtime environment của các nhánh cũ; các nhánh mới hơn có thể vẫn chứa code liên quan nhưng được báo cáo là không thể khai thác trong thực tế. Vì vậy, cần đối chiếu ranh giới giữa việc code tồn tại và khả năng khai thác thực tế với phần affected_summary và hướng dẫn của nhà cung cấp.

• Khả năng tiếp cận: Dịch vụ Zammad có thể bị tiếp cận qua mạng.
• Quyền yêu cầu: Đánh giá được cung cấp ghi nhận không cần quyền trước đó.
• Tương tác người dùng: Các đánh giá không thống nhất giữa tương tác thụ động và không cần tương tác; điều kiện chính xác chưa được xác lập.
• Trạng thái khai thác: Bản ghi đánh dấu lỗ hổng đã bị khai thác và có public exploit. DIVD báo cáo lỗ hổng đã bị lợi dụng để xâm nhập một hệ thống Zammad của họ, sau đó được phân tích và tái hiện. DIVD cũng cho biết đã quét các instance Zammad dễ bị tấn công có thể truy cập công khai.
• Không có bằng chứng công khai đủ chi tiết để mô tả payload hoặc chuỗi khai thác cụ thể.

Lỗ hổng cho phép thực thi mã từ xa với quyền của tài khoản dịch vụ zammad, làm ảnh hưởng trực tiếp đến tính bí mật, toàn vẹn và khả dụng của dữ liệu mà tài khoản này có thể truy cập. Trong phạm vi quyền của ứng dụng, kẻ tấn công có thể đọc hoặc sửa dữ liệu hỗ trợ, thay đổi cấu hình hoặc làm gián đoạn dịch vụ. Bằng chứng hiện có không chứng minh rằng lỗ hổng tự nó dẫn đến quyền quản trị hệ điều hành hoặc quyền root; khả năng mở rộng tác động phụ thuộc vào cấu hình và quyền của hệ thống triển khai. Việc DIVD báo cáo khai thác thành công khiến nguy cơ đối với các instance phơi露 cao hơn một lỗi chỉ tồn tại trên lý thuyết.

• Kẻ tấn công thành công có thể chạy mã với quyền của tài khoản dịch vụ zammad, từ đó có khả năng đọc hoặc thay đổi ticket, tệp đính kèm, cấu hình và dữ liệu khác mà tài khoản này được phép truy cập.
• Lỗ hổng có thể gây gián đoạn dịch vụ hoặc tạo khả năng duy trì quyền truy cập trong phạm vi quyền của ứng dụng.
• Bằng chứng hiện có không xác lập quyền root hoặc quyền điều khiển toàn bộ máy chủ từ riêng lỗ hổng này; tác động rộng hơn phụ thuộc vào quyền của deployment và các điểm yếu bổ sung.
• Vì đã có khai thác được báo cáo, các instance phơi露 nên được xử lý như có khả năng đã bị xâm nhập, không chỉ là chưa cài bản cập nhật.

1. Nâng cấp lên Zammad 7.2.0, phiên bản mà nhà cung cấp xác nhận đã bao gồm thay đổi hardening bổ sung. Không nên diễn giải điều này thành việc mọi nhánh song song đều đã được bao phủ nếu nhà cung cấp chưa xác nhận riêng.
2. Nếu đang chạy một nhánh được nêu trong affected_summary và chưa thể nâng cấp ngay, đưa instance offline theo khuyến nghị của DIVD.
3. Nếu vẫn sử dụng Zammad 6.5 hoặc cũ hơn, cập nhật ngay. Nhà cung cấp cho biết các phiên bản này đã hết hỗ trợ và không còn nhận security update.
4. Sau khi containment hoặc nâng cấp, sử dụng log-check script và các indicator do DIVD cung cấp để đánh giá khả năng bị xâm nhập. Bảo toàn log và dữ liệu điều tra trước khi dọn dẹp hoặc khởi tạo lại instance.
5. Giới hạn quyền truy cập vào máy chủ Zammad nền tảng chỉ cho các quản trị viên đáng tin cậy trong thời gian xử lý.

1. Lập inventory cho mọi instance Zammad, bao gồm phiên bản, hình thức cài đặt, runtime environment và mức độ phơi露 trên mạng.
2. Đối chiếu phiên bản đang chạy với các ranh giới chính xác trong affected_summary; không đánh giá an toàn chỉ dựa trên major version.
3. Kiểm tra log Zammad bằng log-check script và các indicator do DIVD cung cấp. Bản ghi hiện có không nêu tên event log cụ thể, vì vậy không nên tự suy đoán IOC.
4. Điều tra hoạt động phiên bất thường và dấu hiệu thực thi mã không giải thích được trên các instance hướng Internet. Đây chỉ là dấu hiệu phục vụ triage, không phải indicator đã được xác nhận.
5. Việc không tìm thấy bằng chứng trong log không chứng minh hệ thống an toàn nếu log đã bị xóa, bị thiếu hoặc chưa được thu thập đầy đủ.