William Bastos

Existe uma falha de bypass de autorização devido a uma chave controlada pelo usuário, o que permite que um invasor autorizado eleve privilégios através de uma rede.

Um administrador autenticado pode ser induzido a excluir modelos administrativos de Importação/Exportação por meio de um ataque de Cross-Site Request Forgery (CSRF). Isso ocorre porque a ação `AdminImportExport::TemplateDelete` não valida o `ChallengeToken` da requisição, permitindo que um invasor remoto não autenticado execute uma requisição maliciosa com os privilégios de uma sessão de administrador ativa.

Um administrador pode injetar JavaScript arbitrário no conteúdo de uma Página Personalizada (Custom Page). Este script é armazenado pela aplicação e executado no navegador de qualquer usuário que acesse a página, resultando em uma condição de cross-site scripting (XSS) armazenado.

Uma falha de path traversal na funcionalidade SendSupportBundle permite que um administrador autenticado referencie caminhos de arquivos fora do diretório pretendido. Isso pode levar à exclusão de arquivos acessíveis ao processo do aplicativo OTRS, desde que possuam permissões de sistema de arquivos ou de proprietário excessivamente permissivas. O problema não ignora as permissões de arquivo do sistema operacional; para versões anteriores ao OTRS 7, aplicam-se as permissões do processo do servidor web, enquanto o OTRS 7 e versões posteriores são limitados pelas permissões do usuário dedicado do OTRS. Adicionalmente, a funcionalidade pode tentar incluir arquivos controlados em um pacote de suporte, embora esses pacotes sejam enviados para um endereço de suporte predefinido.

O endpoint de configuração do Agent Frontend pode ser acessado sem autenticação, permitindo que usuários remotos recuperem configurações internas da aplicação destinadas a usuários autenticados. As informações expostas podem incluir a configuração de autenticação, recursos de produtos habilitados, configurações de integração de terceiros, rotas de frontend configuradas com seus grupos de autorização e outros detalhes de implementação. Embora isso não exponha credenciais de usuário nem permita a modificação da configuração, permite que invasores façam o fingerprinting da instalação e identifiquem configurações relevantes de segurança para facilitar ataques posteriores.

Tokens de autenticação não são invalidados imediatamente quando uma conta de agente ou de cliente é desativada ou quando a senha é alterada. Isso permite que um JSON Web Token (JWT)—um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes—permaneça válido até a sua expiração, que pode ser de aproximadamente 16 horas. Um invasor que possua tal token pode manter o acesso ao sistema com os privilégios da conta afetada. O impacto depende das permissões do token, variando de acesso limitado à conta do cliente até funcionalidades administrativas, de clientes ou de tickets mais amplas para tokens de agente.

Várias ações administrativas não validam adequadamente se uma solicitação foi intencionalmente iniciada por um usuário autenticado. Especificamente, a ação `DBUpdateLogCleanUp` pode ser acionada por meio de uma solicitação GET sem a validação de um `ChallengeToken`. Isso permite que um invasor remoto não autenticado induza o navegador de um administrador autenticado a executar a ação de limpeza através de uma solicitação manipulada em uma página web maliciosa, resultando na exclusão de entradas de log do DBUpdate. Isso reduz a disponibilidade de dados diagnósticos e históricos para auditoria e solução de problemas. Outros endpoints administrativos sem validação de `ChallengeToken` podem acionar ações como a implantação ou sincronização de configurações existentes, embora não permitam a introdução de novas configurações. Além disso, endpoints de exportação e apenas leitura carecem dessa validação, mas as restrições de mesma origem do navegador impedem que o conteúdo da resposta seja exposto ao invasor.

A neutralização inadequada de entradas controláveis pelo usuário no processamento de tickets permite que atacantes autenticados realizem cross-site scripting (XSS) refletido, uma técnica onde scripts maliciosos são injetados em um site confiável e refletidos de volta para o usuário. Ao injetar JavaScript malicioso em URLs de requisição manipuladas, por meio de parâmetros de requisição elaborados associados a ações de tickets, os atacantes podem executar código de script arbitrário no contexto de uma sessão de agente autenticada quando o link manipulado é aberto.

A vulnerabilidade permite que um invasor utilize uma URL falsa e redirecione para a URL de sua escolha, devido a um redirecionamento aberto no plugin.