CVE-2026-93582 in OTRS Community Edition
要約
〜によって VulDB • 2026年10月12日
((OTRS)) Community Edition 6 およびそれ以前のバージョンの HTTP Basic Authentication モジュールは、REMOTE_USER または HTTP_REMOTE_USER 環境変数のいずれかから認証済みユーザー名を受け入れます。CGI や mod_perl ベースのデプロイメントでは、HTTP リクエストヘッダーが対応する HTTP_* 環境変数にマッピングされることがあります。その結果、未認証のリモート攻撃者は、アプリケーション側で HTTP_REMOTE_USER として露出されるように設計された Remote-User リクエストヘッダーを供給できます。HTTP Basic Authentication が認証バックエンドとして構成されている場合、OTRS はこの値をすでに認証済みユーザー名として信頼し、追加のパスワード検証を実行しません。したがって、攻撃者は対応する資格情報を知らなくても、既存のエージェントまたはカスタマーユーザーになりすまして Generic Interface 経由で認証できます。
生成される権限は、なりすましの対象となるアカウントによって異なります。攻撃が成功すると、影響を受けるユーザーの権限を使用して機密情報へのアクセスやデータ・設定の変更が可能になります。この攻撃には、HTTP Basic Authentication が認証バックエンドとして構成されていることと、攻撃者が制御する HTTP ヘッダーが対応する HTTP_* 環境変数を通じて露出される Web サーバー環境が必要です。
OTRS 7 およびそれ以降は、Mojolicious/Hypnotoad の使用によりこの攻撃ベクターの影響を受けず、%ENV を介して任意のリクエストヘッダーを露出しないため、攻撃に必要な条件を満たしません。サポートされている REMOTE_USER メカニズム additionally は、構成された SSO 共有シークレットを通じた検証も要求します。未使用の HTTP_REMOTE_USER フォールバックは、セキュリティ強化策として削除されています。
((OTRS)) Community Edition 6.x およびそれ以前が脆弱であることに注意してください。(())Community Edition に基づく製品も影響を受ける可能性が高いです。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.