CVE-2026-93483
KrytyczneCVSS 9.5Streszczenie
W Znuny do wersji 7.3.6 atakujący może ominąć standardowe procedury logowania i uzyskać nieautoryzowany dostęp do wrażliwych funkcji systemu poprzez manipulację określonym nagłówkiem żądania HTTP. Aplikacja błędnie ufa temu nagłówkowi, umożliwiając podszycie się pod dowolnego użytkownika, w tym administratora, bez podawania hasła. Moduły HTTPBasicAuth dla agenta i klienta odczytują nazwę użytkownika nie tylko z $ENV{REMOTE_USER}, ale także z $ENV{HTTP_REMOTE_USER}, który jest wypełniany bezpośrednio z kontrolowanego przez atakującego nagłówka "Remote-User".
Ocena ryzyka
Atakujący może zalogować się jako dowolny istniejący użytkownik, w tym administrator, bez poświadczeń, uzyskując pełny dostęp do poufnych danych i funkcji systemu. Stanowi to poważne naruszenie bezpieczeństwa systemu zgłoszeń.
Rekomendacja
Należy zaktualizować Znuny do wersji nowszej niż 7.3.6, jeśli jest dostępna, lub wyłączyć moduły HTTPBasicAuth jako backend uwierzytelniania. Zaleca się również usunięcie lub zablokowanie nagłówka "Remote-User" na poziomie serwera WWW/proxy.
Inne podatności w Znuny
Zobacz wszystkie- CVE-2026-77506Średnie
Znuny przed wersją LTS 6.5.22 zawiera podatność XSS w szablonie AgentTicketEmailResend.
- CVE-2026-50592Średnie
W Znuny LTS przed 6.5.21 oraz Znuny przed 7.3.3 występuje odbity XSS w widoku administracyjnym dziennika komunikacji (AdminCommunicationLog).
- CVE-2026-50591Średnie
Podatność na XSS (Cross-Site Scripting) w Znuny LTS przed 6.5.21 i Znuny przed 7.3.3 poprzez przechowywane preferencje użytkownika.
Oryginalny opis (angielski, źródło NVD)
In Znuny through 7.3.6, an attacker can bypass specific standard login procedures and gain unauthorized access to sensitive system functions by manipulating a specific HTTP request header. Because the application incorrectly trusts this header, an attacker can impersonate any user, including administrators, without requiring a password. This grants full access to confidential data and system controls. More specifically, the HTTPBasicAuth modules for the agent (Kernel::System::Auth::HTTPBasicAuth) and customer (Kernel::System::CustomerAuth::HTTPBasicAuth) interfaces read the username to log in not only from $ENV{REMOTE_USER} (set by the web server after successful authentication), but also, as a fallback, from $ENV{HTTP_REMOTE_USER}, which is populated directly from an attacker-controllable "Remote-User" request header. On systems where HTTPBasicAuth was configured as the authentication backend, this allowed an attacker to log in as any existing user by sending a request with a forged Remote-User header, without providing any credentials.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS