ZSA-2026-14

Date: 2026-09-16
Affected: Alle Versionen von Znuny LTS von 6.5.1 bis einschließlich 6.5.24.
Alle Versionen von Znuny von 7.3.1 bis einschließlich 7.3.6.
Alle Versionen von Znuny 6.0, 6.1, 6.2, 6.3, 6.4, 7.0, 7.1 und 7.2.
Severity: high
CVE: Beantragt

Die HTTPBasicAuth-Module für die Agenten- (Kernel::System::Auth::HTTPBasicAuth) und Kundenoberfläche (Kernel::System::CustomerAuth::HTTPBasicAuth) lasen den Benutzernamen für den Login nicht nur aus $ENV{REMOTE_USER} (vom Webserver nach erfolgreicher Authentifizierung gesetzt), sondern ersatzweise auch aus $ENV{HTTP_REMOTE_USER}, das direkt aus einem vom Angreifer kontrollierbaren Request-Header "Remote-User" befüllt wird. Auf Systemen, auf denen HTTPBasicAuth als Authentifizierungs-Backend konfiguriert war, konnte sich ein Angreifer dadurch als beliebiger existierender Benutzer anmelden, indem er eine Anfrage mit einem gefälschten Remote-User-Header sendete, ohne Zugangsdaten anzugeben.

Behoben in: Znuny LTS 6.5.25 und Znuny 7.3.7

Dank an Mokrane ABDELMALEK (über das VDP-Programm der Universität Gent) für die Meldung.