Local Code Injection Schwachstelle in Zammad

Die Sicherheitslücke (CVE-2024-36078) betrifft die Open-Source-Helpdesk- und Support-Software Zammad. Diese Schwachstelle ermöglicht es einem lokalen Angreifer, beliebigen Code in Zammad-Prozesse zu injizieren, indem er die Dateiberechtigungen eines Ruby-Gems ausnutzt, das von Zammad gebündelt wird. Der Fehler betrifft alle Zammad-Versionen vor 6.3.1.

In den betroffenen Versionen von Zammad wird ein Ruby-Gem mit sytemweiten Schreibberechtigungen installiert. Diese Fehlkonfiguration erlaubt es einem lokalen Angreifer, die Dateien des Gems zu modifizieren und dadurch beliebigen Code in die Zammad-Prozesse einzuschleusen. Diese Prozesse laufen mit den Umgebungsvariablen und Berechtigungen des Zammad-Benutzers, was die Auswirkungen der Schwachstelle erheblich vergrößert.

• Alle Versionen von Zammad vor 6.3.1 sind betroffen.
• Die spezifischen betroffenen und gepatchten Versionen des Ruby-Gems sind derzeit nicht bekannt.

Obwohl die genaue Schwere der Schwachstelle derzeit unbekannt ist, stellt die Möglichkeit, beliebigen Code einzuschleusen, ein erhebliches Risiko dar. Lokale Angreifer könnten diese Schwachstelle ausnutzen, um die Kontrolle über Zammad-Prozesse zu erlangen und damit sensible Daten zu kompromittieren oder weitere Angriffe durchzuführen.

Benutzern und Administratoren von Zammad wird dringend empfohlen, auf die neueste Version (6.3.1 oder höher) zu aktualisieren, um diese Sicherheitslücke zu schließen. Zusätzlich sollten sie die Dateiberechtigungen der installierten Ruby-Gems überprüfen und sicherstellen, dass keine unnötigen Schreibberechtigungen gesetzt sind.