OTRS: Unzureichende Sitzungsaufhebung bei JWT-Authentifizierung
Zusammenfassung
Authentifizierungs-Token (JWTs), die an OTRS-Agenten und Kundenbenutzer ausgestellt wurden, bleiben nach einer Deaktivierung des Kontos oder einer Passwortänderung gültig, bis sie regulär nach etwa 16 Stunden ablaufen. Ein Angreifer, der bereits ein gültiges Token besitzt, kann während dieser Zeit mit den Berechtigungen dieses Kontos weiter auf OTRS zugreifen. Voraussetzung ist ein zuvor ausgestelltes, noch gültiges Token; der Angreifer kann Token durch diese Schwachstelle allein nicht erlangen. Die Auswirkung hängt von den Berechtigungen des Kontos ab, wobei Agenten-Token Zugriff auf weitergehende Ticket-, Kunden- oder Administrationsfunktionen bieten können.
Betroffen
- OTRS 7.0.x
- OTRS 8.0.x
- OTRS 2023.x
- OTRS 2024.x
- OTRS 2025.x
- OTRS 2026.x bis einschliesslich 2026.6.x
Behoben in
- OTRS 2026.7.1 oder neuer (gemäss Herstellerhinweis OSA-202026-14 und CNA-Eintrag)
- OTRS 7: Gemäss CNA-Eintrag sind keine Patches vorgesehen; bitte direkt beim Hersteller bestätigen
- Versionen 8.0.x, 2023.x, 2024.x und 2025.x: In den Quellen ist keine korrigierte Version bestätigt; bis zur Bestätigung durch den Hersteller als ungepatcht behandeln
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Allgemeine Option: JWT-Lebensdauer verkürzen oder eine eigene Sperrlogik umsetzen, damit Token deaktivierter Konten rasch ungültig werden; vorab auf Nebenwirkungen prüfen.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht im CISA KEV; EPSS 0.00304.
- In den geprüften Quellen sind kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gemeldet.
Unsere Empfehlung
- Prüfen, ob OTRS im Einsatz ist, welche Version läuft und ob die Instanz aus dem Internet erreichbar ist.
- Auf OTRS 2026.7.1 oder neuer aktualisieren; für OTRS 7 und weitere ungepatchte Zweige eine Migration planen oder den Supportstatus beim Hersteller klären.
- Bis zur Korrektur die JWT-Lebensdauer nach Möglichkeit verkürzen und Protokolle auf Aktivitäten deaktivierter Konten oder Benutzer mit geändertem Passwort in den letzten 16 Stunden prüfen.
- Bestehende Sitzungen und Token für deaktivierte Konten oder Konten mit geändertem Passwort widerrufen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- OTRS Security Advisory 2026-14 otrs.com
- OpenCVE: CVE-2026-78357 app.opencve.io
- VulDB: CVE-2026-78357 vuldb.com
- Vulners CVE record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:56.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.