Zammad: Lokale Rechteausweitung zu root in Paketinstallationen

Zusammenfassung

Zammad-Pakete für DEB und RPM, die mit packager.io erstellt wurden, erlauben einem lokalen Angreifer mit Codeausführung als unprivilegierter Dienstbenutzer zammad die Ausweitung auf root. Mit root-Rechten laufende Dienste führen Dateien aus, die dem Benutzer zammad gehören und von ihm beschreibbar sind, bevor sie auf diesen Benutzer wechseln. Zudem ist das Installationsverzeichnis für dieses Konto beschreibbar. Voraussetzung ist ein bestehender Zugriff auf den Server, doch die betroffenen Dienste starten automatisch neu, daher kann die Ausweitung innerhalb von Sekunden ohne Zutun eines Administrators erfolgen. Installationen aus dem Quellcode und die offiziellen Container-Images sind nicht betroffen. CISA führt die Schwachstelle als aktiv ausgenutzt.

Betroffen

• Zammad-Pakete für DEB und RPM, die mit packager.io erstellt wurden, Versionen 1.5.0 bis 7.2.1 (gemäss CVE-Eintrag und GitHub-Advisory)
• Installationen aus dem Quellcode und die offiziellen Container-Images sind nicht betroffen
• Versionen vor 1.5.0: Unbekannt

Behoben in

• Zammad 7.2.2 (gepatchte Version gemäss GitHub-Advisory GHSA-p97w-927q-8vxq und OSV)
• Hinweis: Zammad 7.2.0 ist für diese CVE keine dokumentierte Korrektur

Umgehung

• Zugriff auf den Zammad-Server auf vertrauenswürdige Administratoren beschränken
• Schreibrechte des Kontos zammad auf Dienstcode und auf alles, was als root ausgeführt wird, entfernen
• Keine über die Zugriffsbeschränkung hinausgehende, vom Hersteller genannte Umgehungsmassnahme bekannt

Ausnutzung

• Aktiv ausgenutzt: CISA hat die Schwachstelle am 2. Oktober 2026 in den Known Exploited Vulnerabilities Catalog aufgenommen
• CISA-SSVC-Bewertung: Ausnutzung aktiv, nicht automatisierbar, totale technische Auswirkung
• Erfordert lokalen Zugriff als Konto zammad; allein nicht aus der Ferne ausnutzbar

Unsere Empfehlung

• Alle gepackten Zammad-Installationen (DEB/RPM) auf 7.2.2 oder neuer aktualisieren und auf eine vom Hersteller noch unterstützte Version bringen
• Lokalen Zugriff auf den Server auf vertrauenswürdige Administratoren beschränken
• Dateieigentümer und kürzliche Änderungen im Zammad-Installationsverzeichnis prüfen
• Auf Anzeichen einer root-Kompromittierung prüfen; Systeme mit vermuteter Kompromittierung neu aufsetzen oder ersetzen
• Auf unerwartete root-Prozesse und Dienstneustarts überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-p97w-927q-8vxq github.com
• Zammad Security Advisory CVE-2026-102489 and CVE-2026-102490 zammad.com
• DIVD CSIRT advisory CVE-2026-102490 csirt.divd.nl
• DIVD case DIVD-2026-00015 csirt.divd.nl
• CISA Known Exploited Vulnerabilities catalog entry CVE-2026-102490 www.cisa.gov
• OSV entry CVE-2026-102490 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:27.