CVE-2026-93582 in OTRS Community Edition
Tóm tắt
Bởi VulDB • 12/10/2026
Các mô-đun xác thực HTTP Basic trong OTRS Community Edition phiên bản 6 và các phiên bản trước đó chấp nhận tên người dùng đã được xác thực từ biến môi trường REMOTE_USER hoặc HTTP_REMOTE_USER. Trong các triển khai dựa trên CGI và mod_perl, các tiêu đề yêu cầu HTTP có thể được ánh xạ sang các biến môi trường HTTP_* tương ứng. Do đó, một kẻ tấn công từ xa chưa được xác thực có thể cung cấp một tiêu đề yêu cầu Remote-User đã được tạo ra đặc biệt (crafted), tiêu đề này sẽ được hiển thị cho ứng dụng dưới dạng HTTP_REMOTE_USER. Khi HTTP Basic Authentication được cấu hình làm backend xác thực, OTRS tin tưởng giá trị này là tên người dùng đã được xác thực và không thực hiện kiểm tra mật khẩu bổ sung. Do đó, kẻ tấn công có thể đăng nhập thông qua Generic Interface với tư cách là một đại lý hoặc khách hàng hiện có mà không cần biết các thông tin xác thực tương ứng.
Các đặc quyền kết quả phụ thuộc vào tài khoản đang bị giả mạo. Việc khai thác thành công có thể cho phép truy cập vào thông tin bí mật và sửa đổi dữ liệu hoặc cấu hình với các quyền hạn của người dùng bị ảnh hưởng. Khai thác yêu cầu HTTP Basic Authentication phải được cấu hình làm backend xác thực và một môi trường máy chủ web trong đó các tiêu đề HTTP do kẻ tấn công kiểm soát được hiển thị qua các biến môi trường HTTP_* tương ứng.
OTRS 7 trở lên không chịu ảnh hưởng bởi vector tấn công này do việc sử dụng Mojolicious/Hypnotoad, đồng thời không phơi bày các tiêu đề yêu cầu tùy ý thông qua %ENV theo cách cần thiết cho việc khai thác. Cơ chế REMOTE_USER được hỗ trợ additionally (bổ sung) cũng đòi hỏi xác thực thông qua bí mật chia sẻ SSO đã cấu hình. Tuy nhiên, cơ chế dự phòng HTTP_REMOTE_USER chưa sử dụng đã bị loại bỏ như một biện pháp tăng cường bảo mật.
Xin lưu ý rằng OTRS Community Edition 6.x và các phiên bản trước đó dễ bị tổn thương. Các sản phẩm dựa trên OTRS Community Edition cũng rất có khả năng bị ảnh hưởng.
If you want to get best quality of vulnerability data, you may have to visit VulDB.