Znuny: Authentifizierungsumgehung über gefälschten Remote-User-Header in HTTPBasicAuth
Zusammenfassung
Die HTTPBasicAuth-Anmeldemodule von Znuny für die Agenten- und Kundenoberfläche greifen als Fallback auf die Umgebungsvariable HTTP_REMOTE_USER zu, die direkt aus einem vom Client gesendeten Remote-User-Header stammt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann mit einem gefälschten Header ohne Zugangsdaten als beliebiger bestehender Benutzer anmelden, einschliesslich Administratoren. Die Schwachstelle betrifft nur Installationen, die HTTPBasicAuth als Authentifizierungsbackend konfiguriert haben, und ermöglicht vollen Zugriff auf Tickets und Systemkonfiguration.
Betroffen
- Znuny LTS 6.5.1 bis 6.5.24 (CNA-Bereich: 0 bis unter 6.5.25)
- Znuny 7.3.1 bis 7.3.6 (CNA-Bereich: 7.0.0 bis unter 7.3.7)
- Nur Installationen, die HTTPBasicAuth als Authentifizierungsbackend verwenden
- Weitere Znuny-6.x-Versionen und 7.0 bis 7.2 werden im Herstellerhinweis als betroffen aufgeführt; der CNA-Bereich umfasst sie ebenfalls
Behoben in
- Znuny LTS 6.5.25
- Znuny 7.3.7
- Kein korrigiertes 6.0-LTS-Release in den Quellen gefunden. Unbekannt.
Umgehung
- Den Webserver oder Reverse Proxy so konfigurieren, dass vom Client gesendete Remote-User-Header entfernt werden.
- Den Remote-User-Header erst nach erfolgreicher vorgelagerter Authentifizierung intern setzen.
- Ein Wechsel weg von HTTPBasicAuth würde die Exposition beseitigen, eine offizielle Herstellerempfehlung dafür gibt es jedoch nicht.
Ausnutzung
- CISA KEV: nicht gelistet.
- CISA SSVC: Exploitation none, nicht automatisierbar.
- Kein öffentlicher Exploit in GitHub oder Exploit-DB zum Recherchezeitpunkt gefunden.
- Ausnutzung in freier Wildbahn: widersprüchliche Angaben, nicht bestätigt.
- EPSS ist niedrig (etwa 0,23 %).
Unsere Empfehlung
- Prüfen, ob Znuny-Instanzen HTTPBasicAuth als Authentifizierungsbackend verwenden.
- Exponierte Instanzen vorrangig auf Znuny LTS 6.5.25 oder Znuny 7.3.7 aktualisieren.
- Bis zur Aktualisierung den Remote-User-Header am Reverse Proxy oder Load Balancer entfernen.
- Logs auf Anmeldungen ohne Passwort oder mit unerwarteten Remote-User-Werten prüfen.
- Versionsangaben vor dem Rollout mit dem Herstellerhinweis ZSA-2026-14 abgleichen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Znuny advisory ZSA-2026-14 www.znuny.org
- Znuny advisory index www.znuny.org
- VulDB CVE-2026-93483 vuldb.com
- VulDB vulnerability 420466 vuldb.com
- OpenCVE CVE-2026-93483 app.opencve.io
- DevGuard CVE-2026-93483 docs.devguard.org
- Vulners CVE-2026-93483 vulners.com
- Ubuntu CVE-2026-93483 ubuntu.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:32.
Referenzen der NVD (2)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.