Zammad

Die Schwachstelle betrifft die Helpdesk- und Ticketsoftware Zammad. Durch eine Session Fixation kann ein Angreifer eine Benutzersitzung übernehmen (Session Hijacking). In der Folge lässt sich aus der Ferne eigener Code ausführen – und zwar im Kontext des Systembenutzers, unter dem Zammad läuft. Damit erhält der Angreifer Zugriff auf die Anwendung und die darüber verarbeiteten Daten, etwa Tickets, Kundenkommunikation und Anhänge, und kann den Dienst manipulieren. In neueren Programmständen ist der Fehler zwar ebenfalls vorhanden, dort aber aufgrund der geänderten Umgebungsbedingungen nach Herstellerangaben nicht ausnutzbar. Besonders relevant ist, dass sich diese Lücke mit einer weiteren Schwachstelle zu einer Angriffskette verbinden lässt, was die Ausnutzung zusätzlich erleichtert.