سیستم Zammad که یک پلتفرم متن‌باز (Open Source) برای مدیریت Helpdesk و پشتیبانی مشتریان است، با یک آسیب‌پذیری امنیتی در مکانیزم احراز هویت مواجه شده است که در نسخه‌های جدید اصلاح گردید.
جزئیات فنی آسیب‌پذیری
در نسخه‌های پیش از 7.1.2، یک نقص در مرحله ورود دو مرحله‌ای (Two-Factor Authentication) شناسایی شد. این نقص به عامل تهدید اجازه می‌داد تا بدون فعال شدن مکانیزم‌های حفاظتی مانند Lockout (قفل شدن حساب) یا Rate Limiting (محدود کردن نرخ درخواست‌ها)، تعداد نامحدودی حدس برای رمز عبور هر حساب کاربری ارسال کند.
تاثیر و ریسک امنیتی
- افشای وضعیت رمز عبور: پاسخ‌های سیستم به گونه‌ای بود که حتی پیش از بررسی مرحله دوم احراز هویت (2FA)، مشخص می‌کرد که آیا رمز عبور وارد شده صحیح است یا خیر.
- حمله Brute-force: این ویژگی به مهاجمان اجازه می‌داد تا با استفاده از حملات Brute-force، رمزهای عبور ضعیف یا تکراری را به راحتی شناسایی و به دست آورند.
راهکار اصلاحی
تیم توسعه Zammad این مشکل را در نسخه 7.1.2 برطرف کرده است. به مدیران SOC و مهندسان امنیت توصیه می‌شود هرچه سریع‌تر سیستم‌های خود را به آخرین نسخه به‌روزرسانی کنند تا از دسترسی‌های غیرمجاز جلوگیری شود.
