荷兰漏洞披露研究所（DIVD）表示，其自身网络遭到入侵的原因是攻击者利用了开源工单系统 Zammad 中两个零日漏洞组成的攻击链。此次 Zammad 零日漏洞导致的 DIVD 入侵事件尖锐地提醒人们：即便是以发现和报告安全漏洞为职责的组织，也可能被尚无人知晓的漏洞所击穿。
目前可获取的报道较为简短，因此本文仅围绕已公开的信息展开，并解释其为何重要。
Zammad 零日漏洞链如何攻破 DIVD
据 DIVD 称，对其网络的入侵之所以成为可能，是因为攻击者将 Zammad 中两个独立的零日漏洞串联利用。零日漏洞是指在被利用时供应商尚不知晓、或尚无补丁可用的缺陷，这使防御者没有现成的修复方案。
漏洞串联利用至关重要。一个漏洞可能为攻击者提供立足点或有限访问权限，而第二个漏洞则让他们更进一步，例如提升权限或触及本应无法到达的系统。两个中等严重程度的漏洞组合起来，就可能造成严重的入侵事件。
Zammad 是一个开源帮助台和工单平台，通常由组织自行托管以管理支持请求。来源摘要并未详述这两个漏洞的技术性质，我们也不会对此进行猜测。读者应关注 Zammad 项目和 DIVD 发布的官方公告和补丁。
AI 驱动攻击对防御者意味着什么
标题将此次入侵描述为 AI 驱动，相关角度指出 AI 工具据称加速了攻击。关于 AI 具体如何被使用的细节并不在我们掌握的材料中，因此过度渲染是不恰当的。
但总体上的担忧仍然值得理解。自动化可以缩短从发现弱点到利用弱点之间的时间。如果工具能帮助攻击者更快地发现、测试并串联漏洞，防御者做出反应的时间窗口就会缩小。这使得以下方面更加重要：
- 补丁发布后快速修复
- 限制面向互联网的应用程序在内部网络中可触及的范围
- 通过监控及早发现异常行为，而非依赖已知特征码
这些都不是恐慌的理由，而是将暴露面管理视为持续过程而非偶尔审计的理由。
为什么工单系统掌握的数据比你想象的更敏感
工单系统看起来只是普通工具，但往往收集了数量惊人的信息。人们在自由文本中描述问题，附上截图和日志，其中包含姓名、电子邮件地址、账户详情，有时还有凭据或内部系统信息。对于漏洞披露组织而言，工单还可能涉及尚未修复的安全问题。
这使这些平台成为有吸引力的目标。它们位于公众与内部团队之间，通常可从互联网访问，并且保存着很少有人想到要清理的长期对话记录。
同样的模式在其他地方也有出现。在阿迪达斯涉及第三方供应商的入侵事件中，客户联系数据是通过一家被攻破的客户服务提供商获取的。教训是相似的：即便核心业务系统受到更好的保护，支持基础设施也可能成为薄弱环节。数据暴露也可能以更间接的方式发生，例如OpenAI 智能体将 53 张 ChatGPT 图片未经授权发布到公共网站，这提醒人们与某项服务共享的信息可能传播到用户预期之外的地方。
这对你意味着什么
如果你曾联系过 DIVD 或向其报告过漏洞，请关注该组织关于你的信息是否受到影响的官方通知。我们没有来自来源的确认，不知道具体哪些数据被访问，因此避免做最坏的假设，但请对后续通知保持警觉。
如果你使用 Zammad 或类似的自托管工单工具，现在是检查自身暴露情况的好时机。对于其他人而言，要点在于习惯：你交给支持台的信息细节可能存留在你一无所知的系统中，由你并未选择的供应商运营。
组织和个人现在应检查什么
对于运行 Zammad 的组织：
- 检查 Zammad 项目和 DIVD 的安全公告，并及时应用任何补丁。
- 审查你的实例是否需要直接暴露于互联网，尽可能将其置于访问控制之后。
- 将服务器与内部系统隔离，以免一次入侵演变为全网问题。
- 审查日志中的异常活动，轮换可能出现在旧工单中的凭据。
- 设置保留规则，避免含有敏感内容的旧工单被无限期保留。
对于个人：
- 仅向支持团队提供最少必要信息，避免在工单中发送密码、完整身份证件或支付详情。
- 为每项服务使用唯一密码，这样一份泄露的工单就无法解锁其他账户。
- 对提及过往支持请求的意外邮件保持警惕，因为攻击者可以利用泄露的工单详情显得可信。Mayer Brown Luna Moth 事件表明，即便没有真实的系统入侵，身份冒充也可以奏效。
要点总结
Zammad 零日漏洞导致的 DIVD 入侵事件表明，支持和工单平台应当与其他任何关键系统一样受到审视。快速打补丁、限制暴露面，并清理你不再需要的数据。作为读者，花几分钟回顾一下你与支持台和供应商共享过哪些个人信息，并考虑其中一家发生入侵会如何影响你。关于客户服务系统成为薄弱环节的类似案例，请阅读我们对阿迪达斯第三方供应商入侵事件的报道。
