OTRS Community Edition: Authentifizierungsumgehung über manipulierten Remote-User-Header

Zusammenfassung

OTRS Community Edition 6 und früher übernehmen den Benutzernamen aus der Umgebungsvariable HTTP_REMOTE_USER, wenn HTTP Basic Authentication als Authentifizierungs-Backend dient. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über einen manipulierten Remote-User-Header ohne Passwort über die Generic Interface als bestehender Agent oder Kunde angemeldet werden. Die Auswirkungen hängen vom übernommenen Konto ab und können den Zugriff auf vertrauliche Daten sowie Änderungen an Daten oder Konfiguration umfassen. Voraussetzung ist HTTP Basic Authentication als Backend und ein Webserver, der Request-Header als HTTP_*-Variablen weitergibt.

Betroffen

• ((OTRS)) Community Edition 6.x und früher
• Produkte, die auf ((OTRS)) Community Edition basieren, laut Hersteller sehr wahrscheinlich ebenfalls betroffen (bei Forks wie Znuny oder OTOBO: die Sicherheitsmitteilungen des jeweiligen Anbieters prüfen)
• Laut Hersteller nicht betroffen: OTRS 7.0.x, 8.0.x, 2023.x, 2024.x, 2025.x, 2026.x

Behoben in

Unbekannt für ((OTRS)) Community Edition 6.x. Es ist keine korrigierte 6.x-Version bekannt, die diese CVE behebt.

• Laut Lösungshinweis im CVE-Eintrag ist auf die aktuelle OTRS-Version (2026.7.1 oder neuer) zu aktualisieren, was eine Migration weg von CE 6.x bedeutet.

Umgehung

• HTTP Basic Authentication als Authentifizierungs-Backend deaktivieren, sofern nicht benötigt.
• Vom Client gesendete Remote-User- und HTTP_REMOTE_USER-Header auf dem Reverse Proxy oder Webserver entfernen (in der tatsächlichen Konfiguration prüfen).
• Zugriff auf die Generic Interface und die Anmeldeseiten auf vertrauenswürdige IP-Adressen oder ein VPN beschränken.
• Diese Massnahmen stammen nicht vom Hersteller und ersetzen keine Migration.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• Zum Zeitpunkt der Recherche sind keine Ausnutzung in freier Wildbahn und kein öffentlicher Proof-of-Concept bekannt.
• EPSS-Wert 0.00392 (geringe vorhergesagte Ausnutzungswahrscheinlichkeit).

Unsere Empfehlung

• Alle OTRS- und ((OTRS)) CE-Instanzen inventarisieren, inklusive Version und der Frage, ob HTTP Basic Authentication das Backend ist.
• Externen Zugriff auf betroffene Instanzen sofort einschränken und Remote-User-Header am Proxy filtern.
• Migration auf eine unterstützte OTRS-Version oder einen gepflegten Fork planen, nach Prüfung von dessen Sicherheitsmitteilungen.
• Logs auf Anfragen mit Remote-User-Headern und unerwartete Anmeldungen prüfen, insbesondere bei Administratorkonten; war eine exponierte Instanz erreichbar, Konten, Tickets und Konfigurationsänderungen überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OTRS Security Advisory 2026-18 otrs.com
• Ubuntu security notice CVE-2026-93582 ubuntu.com
• CVE record mirror (cvelist) vulners.com
• OpenCVE CVE-2026-93582 app.opencve.io
• OSV Ubuntu CVE-2026-93582 osv.dev
• The Hacker Wire CVE-2026-93582 www.thehackerwire.com
• Community Edition and Znuny overview www.getmacha.com
• OTRS Community Edition product page otrs.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:07.