Insecure Direct Object Reference im Zammad Upload Cache

Technische Analyse

Zammad ist ein weit verbreitetes Open-Source-Helpdesk- und Ticketsystem, das Unternehmen für Kundensupport und interne IT-Anfragen einsetzen. Die von AWARE7-Researcher Johannes Ludwig entdeckte Schwachstelle CVE-2024-33668 betrifft den sogenannten Upload Cache - den Mechanismus, über den Datei-Anhänge zwischengespeichert werden, bevor ein Ticket-Artikel final gespeichert wird.

Der Upload Cache identifiziert einzelne Uploads über sogenannte Form-IDs. Diese werden laut Herstellerbeschreibung unsicher und teilweise erratbar generiert (CWE-639, Authorization Bypass Through User-Controlled Key). Ein Angreifer kann gültige Form-IDs anderer Nutzer erraten oder systematisch durchprobieren und darüber schadhafte Datei-Inhalte in Artikel-Entwürfe hochladen, auf die er eigentlich keinen Zugriff haben dürfte.

Die Bewertung mit 9.1 (Critical) stammt von CISA-ADP, dem Vulnrichment-Programm der US-Cybersicherheitsbehörde CISA, das kritische Schwachstellen in weit verbreiteter Software zusätzlich zur Herstellerangabe einordnet - ein Indiz für die praktische Relevanz des Fundes über den ursprünglichen Meldekontext hinaus. Mit diesem Score zählt der Fund zu den schwerwiegendsten in dieser Übersicht: Der Vektor zeigt hohe Auswirkung auf Vertraulichkeit UND Integrität (C:H/I:H) bei fehlender Vorbedingung (PR:N, keine Nutzerinteraktion UI:N) - ein nicht authentifizierter oder niedrig privilegierter Angreifer kann die Schwachstelle vollautomatisiert ausnutzen, ohne dass ein Opfer aktiv mitwirken muss.

In einem Helpdesk-System mit sensiblen Kundenanfragen, internen Vorgängen und teils vertraulichen Anhängen wie Verträgen, Zugangsdaten oder Screenshots bedeutet das ein erhebliches Risiko: Eingeschleuste Inhalte könnten in fremde Tickets gelangen, dort Social-Engineering-Angriffe gegen Support-Mitarbeitende vorbereiten oder schadhafte Dateien in einen vertrauenswürdigen Kontext einschleusen. Der Hersteller hat die Schwachstelle mit Version 6.3.0 behoben.

Empfohlene Maßnahmen

1. Sofort: Update auf Version 6.3.0 durchführen
2. Kurzfristig: Ticket-Anhänge auf ungewöhnliche oder unbekannte Inhalte prüfen
3. Langfristig: Regelmäßige Penetrationstests der Support-Infrastruktur durchführen

Wir testen Ihre Web-Applikationen auf genau solche Schwachstellen. Erfahren Sie mehr über unsere Penetrationstests →