Критическая уязвимость в Znuny: отсутствие авторизации открывает путь к полному захвату тикет-системы

Специалисты по кибербезопасности зафиксировали опасную брешь в популярном программном обеспечении для служб поддержки. Ошибка, допущенная разработчиками Znuny, позволяет злоумышленнику получить полный контроль над системой дистанционно, без каких-либо учётных данных. Это ставит под угрозу тысячи компаний, использующих данное решение для работы с обращениями клиентов.

Детали уязвимости

Уязвимость, зарегистрированная в Банке данных угроз безопасности информации под кодом BDU:2026-09139, а также в международной базе уязвимостей CVE-2025-26846, затрагивает компонент Generic Interface (интерфейс для внешних интеграций) продукта Znuny. Разработчики этого компонента не предусмотрели механизмы проверки прав доступа. Говоря простым языком, любой посторонний человек, знающий сетевой адрес сервера, может выполнять любые операции, словно он администратор системы.

Znuny, как многие знают, - это развилка популярной системы управления обращениями OTRS. Компании используют его для организации работы службы поддержки, обработки заявок от клиентов и хранения истории взаимодействий. Внутри таких систем часто накапливается огромный массив конфиденциальных данных. Это и персональные данные клиентов, и логи переписки, и техническая документация. Потеря контроля над подобной системой может обернуться катастрофой для бизнеса.

Уровень опасности данной уязвимости оценивается как критический. Базовая оценка по стандарту CVSS 3.1 составляет 9,8 баллов из 10. Для атаки не требуется никаких дополнительных условий. Вектор CVSS: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H расшифровывается пугающе прямолинейно: атака проводится удалённо (через интернет), сложность её низкая, злоумышленнику не нужны никакие привилегии, не требуется взаимодействие с пользователем. При этом нарушаются все три базовых свойства защищаемой информации: конфиденциальность (доступ к секретным данным), целостность (возможность их изменить) и доступность (возможность вывести систему из строя).

Какие версии попали под удар? Список поражает широтой охвата. Уязвимыми признаны практически все актуальные линейки продукта. Это версии от 6.5.1 LTS (версия с долгосрочной поддержкой) до 6.5.11 LTS включительно. Также под прицелом оказалась ветка 7.0.1 вплоть до 7.1.3. Даже старая, но всё ещё используемая версия 6.0 LTS не избежала этой участи. Фактически, производитель подтвердил проблему для большинства инсталляций, работающих на поддерживаемых сборках.

Тип ошибки классифицируется как CWE-862 (отсутствие авторизации). Это означает, что разработчики при создании модуля Generic Interface просто забыли, или не посчитали нужным, добавить проверку того, кто именно отправляет запрос. Любой HTTP-запрос, приходящий на этот интерфейс, обрабатывается как доверенный. Это классическая проблема, уходящая корнями в архитектуру программного обеспечения. Подобные ошибки опасны тем, что их невозможно исправить простым патчем конфигурации. Требуется изменение кода ядра.

С момента обнаружения прошло уже некоторое время, и производитель оперативно отреагировал. Выпущено официальное предупреждение (advisory) ZSA-2025-02. В нём подробно расписаны затронутые версии и даны рекомендации. Более того, сам производитель уже выпустил обновления, устраняющие проблему. Статус уязвимости обозначен как "устранена".

Главная опасность сейчас заключается в том, что многие системные администраторы могли просто не заметить это предупреждение. Процесс обновления Znuny часто откладывают на потом. Ведь это не рядовое обновление браузера, а перезагрузка критически важной для бизнеса системы. А тем временем, по данным источников, подтверждённых эксплойтов пока нет, но техническая информация об ошибке уже опубликована. Это значит, что написать рабочий эксплойт может любой специалист средней квалификации.

Что делать, если вы обнаружили, что ваш сервер работает на уязвимой версии? Первым делом необходимо срочно обновить систему. Производитель рекомендует перейти на версии 7.1.4 или 6.5.12 LTS в зависимости от используемой ветки.

Стоит обратить внимание, что уязвимость также зафиксирована в трекере безопасности проекта Debian. Это значит, что данная проблема касается и тех, кто устанавливал Znuny через стандартные репозитории этой операционной системы. Администраторам таких серверов также необходимо проверить наличие обновлений через штатные средства управления пакетами.

Ситуация с этой уязвимостью - хороший пример того, насколько хрупкой может быть безопасность даже проверенного корпоративного программного обеспечения. Одна забытая проверка доступа - и всё защищённое периметром сети хозяйство оказывается открытым для атаки. Особенно тревожно, что речь идёт о продукте, который часто разворачивают в демонстрационных зонах, открытых для внешних интеграций. Компонент Generic Interface как раз предназначен для связи с другими системами, и его обычно не прячут за дополнительными факторами аутентификации.

Эксперты рекомендуют не ограничиваться только установкой патча. Стоит провести аудит логов доступа к серверу за последние несколько месяцев. Нужно проверить, не было ли подозрительных запросов к компоненту Generic Interface. Журналы могли сохранить следы атаки, если она уже была проведена. Кроме того, важно сменить все ключи API и пароли, которые хранились в системе. Злоумышленник мог незаметно их скопировать до того, как вы закрыли брешь.

Подводя итог, можно сказать, что обнаруженная уязвимость в Znuny - это не рядовая ошибка кода, а архитектурная недоработка, способная поставить крест на безопасности целой организации. Компаниям, использующим данный продукт, стоит как можно быстрее обновить его до актуальной версии. Промедление в этом вопросе может привести к утечке конфиденциальных данных, простою службы поддержки и серьёзным репутационным потерям.

Детали уязвимости

Ссылки