CVE-2026-102489: Zammad Unauthentifizierte Remote-Code-Ausführung

Dieses Repository enthält einen Proof of Concept für CVE-2026-102489, eine unauthentifizierte Remote-Code-Ausführungsschwachstelle in Zammad. Der Exploit verkettet eine WebSocket-Informationsoffenlegungslücke mit der Übernahme authentifizierter Sitzungen und der Ausführung beliebiger Befehle als der zammad-Betriebssystembenutzer.

Details zur Schwachstelle

Sessions::Event::Base ist eine gültige Ruby-Konstante, die keine run()-Methode besitzt. Das Senden von {"event":"base"} über den WebSocket-Endpunkt löst einen NoMethodError aus, dessen Meldung die vollständige Empfänger-Inspektion enthält – welche @clients beinhaltet, die Live-Zuordnung des Anfragekontexts jedes verbundenen Benutzers, einschließlich dessen Cookie-Headers.

Der PoC nutzt dieses Leck, um:

1. Gültige _zammad_session-Cookies von verbundenen Benutzern über die WebSocket-@clients-Offenlegung zu sammeln.
2. Eine authentifizierte (idealerweise Admin-)Sitzung zu identifizieren und zu übernehmen.
3. Eine bösartige ERB-Vorlage über die Paket-API zu installieren und dabei die Ansicht des Passwort-Reset-Mailers zu überschreiben.
4. Die serverseitige Vorlagenauswertung über einen Passwort-Reset auszulösen, um einen beliebigen Befehl auszuführen, und anschließend das installierte Paket zu bereinigen.

Blogbeitrag

Eine technische Analyse zu Grundursache, Ausnutzung und Kompromittierungsindikatoren ist im Attack-Research-Blog von Horizon3.ai verfügbar:

https://horizon3.ai/attack-research/disclosures/cve-2026-102489-zammad-session-leak-rce/

Verwendung

% python3 CVE-2026-102489.py -h
usage: CVE-2026-102489.py [-h] -u URL [-c COMMAND] [--out-file OUT_FILE]

options:
  -h, --help            show this help message and exit
  -u URL, --url URL     The base URL of the target
  -c COMMAND, --command COMMAND
                        Command to execute on the target
  --out-file OUT_FILE   Output file path on the target (default:
                        /tmp/zammad_rce.txt)

Ausführen mit dem Standardbefehl id:

python3 CVE-2026-102489.py -u http://zammad.example.com

Einen beliebigen Befehl ausführen:

python3 CVE-2026-102489.py -u http://zammad.example.com -c 'id'

Hinweis: Die Informationsoffenlegung erfordert, dass zum Zeitpunkt der Ausnutzung mindestens ein authentifizierter Benutzer mit dem WebSocket-Endpunkt verbunden ist.

Folgen Sie dem Horizon3.ai Attack Team für die neuesten Sicherheitsforschungen

• Horizon3 Attack Team

Haftungsausschluss

"Diese Software wurde ausschließlich für Zwecke der akademischen Forschung und für die Entwicklung wirksamer Verteidigungstechniken erstellt und ist nicht dafür gedacht, Systeme anzugreifen, außer wenn dies ausdrücklich autorisiert wurde." Die Projektbetreuer übernehmen keine Haftung für Missbrauch. Verwenden Sie sie verantwortungsvoll.