CVE-2026-102489: Zammad में अनधिकृत रिमोट कोड निष्पादन

यह रिपॉज़िटरी CVE-2026-102489 के लिए एक प्रूफ ऑफ कॉन्सेप्ट प्रदान करती है, जो Zammad में एक अनधिकृत रिमोट कोड निष्पादन भेद्यता है। यह एक्सप्लॉइट एक WebSocket सूचना प्रकटीकरण दोष को प्रमाणित सत्र अधिग्रहण और zammad OS उपयोगकर्ता के रूप में मनमाने कमांड निष्पादन से जोड़ता है।

भेद्यता विवरण

Sessions::Event::Base एक वैध Ruby कॉन्स्टेंट है जिसमें कोई run() मेथड नहीं है। WebSocket एंडपॉइंट पर {"event":"base"} भेजने से एक NoMethodError उत्पन्न होता है जिसके संदेश में पूरा रिसीवर इंस्पेक्ट शामिल होता है — जिसमें @clients होता है, जो प्रत्येक कनेक्टेड उपयोगकर्ता के रिक्वेस्ट कॉन्टेक्स्ट का लाइव मैप है, जिसमें उनका Cookie हेडर भी शामिल है।

यह PoC इस लीक का उपयोग निम्नलिखित के लिए करता है:

1. WebSocket @clients प्रकटीकरण के माध्यम से कनेक्टेड उपयोगकर्ताओं से वैध _zammad_session कुकीज़ एकत्र करना।
2. एक प्रमाणित (आदर्श रूप से एडमिन) सत्र की पहचान करना और उसका अपहरण करना।
3. पैकेज API के माध्यम से एक दुर्भावनापूर्ण ERB टेम्पलेट इंस्टॉल करना, जो पासवर्ड-रीसेट मेलर व्यू को ओवरराइट करता है।
4. पासवर्ड रीसेट के माध्यम से सर्वर-साइड टेम्पलेट मूल्यांकन को ट्रिगर करके एक मनमाना कमांड निष्पादित करना, फिर इंस्टॉल किए गए पैकेज को साफ़ करना।

ब्लॉग पोस्ट

मूल कारण, शोषण, और समझौता के संकेतकों को कवर करने वाला तकनीकी विश्लेषण Horizon3.ai अटैक रिसर्च ब्लॉग पर उपलब्ध है:

https://horizon3.ai/attack-research/disclosures/cve-2026-102489-zammad-session-leak-rce/

उपयोग

% python3 CVE-2026-102489.py -h
usage: CVE-2026-102489.py [-h] -u URL [-c COMMAND] [--out-file OUT_FILE]

options:
  -h, --help            show this help message and exit
  -u URL, --url URL     The base URL of the target
  -c COMMAND, --command COMMAND
                        Command to execute on the target
  --out-file OUT_FILE   Output file path on the target (default:
                        /tmp/zammad_rce.txt)

डिफ़ॉल्ट id कमांड के साथ चलाएँ:

python3 CVE-2026-102489.py -u http://zammad.example.com

एक मनमाना कमांड निष्पादित करें:

python3 CVE-2026-102489.py -u http://zammad.example.com -c 'id'

नोट: सूचना प्रकटीकरण के लिए शोषण के समय कम से कम एक प्रमाणित उपयोगकर्ता का WebSocket एंडपॉइंट से कनेक्टेड होना आवश्यक है।

नवीनतम सुरक्षा अनुसंधान के लिए Horizon3.ai Attack Team को फॉलो करें

• Horizon3 Attack Team

अस्वीकरण

"यह सॉफ़्टवेयर विशुद्ध रूप से शैक्षणिक अनुसंधान और प्रभावी रक्षात्मक तकनीकों के विकास के उद्देश्यों के लिए बनाया गया है, और इसका उद्देश्य सिस्टम पर हमला करने के लिए उपयोग करना नहीं है, सिवाय उस स्थिति के जहाँ स्पष्ट रूप से अधिकृत किया गया हो।" प्रोजेक्ट मेंटेनर दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते हैं। जिम्मेदारी से उपयोग करें।