Chi Sono

Sono Juan Felipe Oz (@JF0x0r), un ricercatore di sicurezza appassionato di sicurezza open source. Non lo faccio per le bounty, lo faccio perché credo che gli strumenti su cui le persone fanno affidamento dovrebbero essere sicuri. Quando trovo qualcosa, lo segnalo in modo responsabile, lo documento correttamente e lo condivido pubblicamente una volta che è stato corretto.

Cosa Ho Trovato

Durante una revisione manuale del codice del sottosistema AJAX di osTicket, ho notato qualcosa di anomalo in ajax.tickets.php. La funzione viewField() gestisce le richieste per visualizzare i dati dei campi dei ticket - e recupera effettivamente l'oggetto ticket e verifica che il campo esista. Ma non controlla mai se l'agente che effettua la richiesta ha effettivamente il permesso di accedere a quel ticket.

Niente checkStaffPerm(). Niente validazione del dipartimento. Niente.

Questo significa che qualsiasi agente autenticato, anche uno strettamente limitato a un singolo dipartimento, può leggere i campi dei ticket di qualsiasi altro dipartimento del sistema, semplicemente conoscendo o indovinando ticket_id e field_id. Sono interi sequenziali. Facili da enumerare.

Ciò che rende il tutto particolarmente chiaro è il confronto con editField(), la funzione gemella immediatamente sopra nello stesso file. editField() chiama correttamente $ticket->checkStaffPerm($thisstaff, Ticket::PERM_EDIT) e restituisce HTTP 403 in caso di violazione. Il fix era già stato implementato per le scritture — semplicemente non è mai stato applicato alle letture.

Prova di Concetto: Demo dal Vivo

Ho registrato una dimostrazione end-to-end completa dell'exploit in un ambiente di laboratorio controllato:

Il video illustra:

• Configurazione del laboratorio con due dipartimenti isolati (Dept-A e Dept-B)
• Agente agent_a autenticato con accesso limitato al solo Dept-A
• Creazione della richiesta non autorizzata mirata a un ticket riservato del Dept-B
• Il server che restituisce HTTP 200 con i dati del campo del ticket riservato esposti
• Replay dopo la patch che mostra HTTP 403 — Permesso negato

Lo script exploit.py in questo repository automatizza l'intera catena (autenticazione → enumerazione → accesso non autorizzato ai campi) ed è stato utilizzato durante la valutazione per confermare che il problema si estende oltre il test manuale.

Impatto

• Divulgazione di dati sensibili - qualsiasi agente può leggere i campi dei ticket riservati di tutti i dipartimenti
• Escalation orizzontale dei privilegi - i confini tra dipartimenti vengono completamente bypassati
• Enumerazione di massa - gli interi sequenziali di ticket_id / field_id rendono banale lo scraping di massa
• Violazione della riservatezza multi-tenant - vanifica il principio di progettazione fondamentale del modello di isolamento per dipartimenti di osTicket

La Correzione

L'inserimento di una singola riga in viewField(), immediatamente dopo il recupero dell'oggetto ticket - rispecchiando esattamente ciò che editField() già fa correttamente. Tutti i dettagli tecnici, il diff e la ripartizione CVSS sono nel report allegato.

📄 BOLA_IDOR_osTicket_Report_v2.pdf

✅ Patch Ufficiale (Confermata dal Team osTicket)

osTicket ha confermato il report e ha implementato la mitigazione aggiungendo $ticket->checkStaffPerm($thisstaff) prima di risolvere/rendere il campo richiesto - rispecchiando il controllo già presente in editField(). Il personale deve ora avere accesso al ticket principale prima di poter visualizzare i dati dei campi.

osTicket raccomanda un breve periodo di attesa per l'aggiornamento prima di condividere pubblicamente i passaggi completi dell'exploit. Questo repository segue tale indicazione - vedi Cronologia della Divulgazione qui sotto.

Cronologia della Divulgazione

File in Questo Repository

Divulgazione Responsabile

Ho segnalato privatamente il problema al team di sicurezza di osTicket prima di pubblicare qualsiasi cosa. Questo repository è stato reso pubblico solo dopo la finestra di divulgazione responsabile e, ora che è stata rilasciata una patch ufficiale, è disponibile il resoconto completo. Se sei un maintainer di osTicket e hai domande, sentiti libero di contattarmi direttamente tramite GitHub.

Trovato da @JF0x0r · La sicurezza dell'open source è importante.