帮助台是组织运行中最受信任的收件箱之一。客户粘贴账户详情、错误日志、姓名，有时还有文件，以为数据安全地存放在平台后面。据报道，一条Zammad零日远程代码执行链被用于攻击荷兰漏洞披露研究所（DIVD），这提醒我们，这种信任完全取决于承载工单的软件。
据报道，两个Zammad零日漏洞可实现会话劫持、远程命令执行，以及在底层服务器上获取潜在root访问权限。Zammad是一个开源工单和帮助台平台。源文章细节有限，因此本文仅陈述已报道的内容，避免猜测技术细节。
Zammad零日漏洞是如何被串联利用的
核心问题在于漏洞链。单独来看，任何一个漏洞都不必具有毁灭性，但组合起来就可能变得严重。根据报道，第一个弱点允许攻击者劫持会话，即在不了解用户密码的情况下接管已认证用户的访问权限。第二个漏洞允许远程命令执行，使攻击者能够在托管Zammad的服务器上运行命令。在此基础上，root访问被描述为潜在结果，意味着攻击者可能获得对机器的完全控制。
这种模式在严重入侵中很常见：一个漏洞获得立足点，另一个漏洞将立足点转化为控制权。这也解释了为什么防御者被敦促认真对待中危问题，因为它们可能成为漏洞链的第一环。
关于完整攻击过程，包括DIVD被入侵的经过，请参阅我们此前的报道：AI智能体串联两个Zammad零日漏洞入侵DIVD和DIVD：AI智能体在入侵中利用两个Zammad零日漏洞。
帮助台被攻破后会暴露什么
帮助台服务器存储的内容比人们通常意识到的要多。根据组织的使用方式，一个被攻破的实例可能暴露：
- 支持工单及其附带的完整对话历史
- 客户姓名、电子邮件地址和其他联系方式
- 客户上传的截图、日志或文件等附件
- 员工撰写的关于客户或事件的内部备注
- 存储在服务器上的凭据、API令牌或集成设置
Root访问进一步提高了风险。控制主机的攻击者不仅限于应用程序的数据。他们可能访问同一机器上的其他服务、读取配置文件，并将该服务器用作网络中其他地方的跳板。这就是为什么帮助台被攻破可能演变为更广泛的事件，而非可控事件。
DIVD案例也值得注意，因为DIVD本身就是一个帮助报告和修复漏洞的安全组织。如果一个专注于这项工作的组织都可能受到影响，那么任何运行自托管工具的组织都应假设自己可能是目标。我们关于导致AI驱动入侵的Zammad零日漏洞链的文章涵盖了这一背景。
Zammad管理员现在应该做什么
如果你运行Zammad，请将此视为优先审查，而非例行任务。
- 检查官方修复。 关注Zammad项目的安全公告，并在补丁或更新可用时尽快应用。不要依赖第三方摘要获取版本详情。
- 限制暴露面。 如果你的实例不需要从开放互联网访问，请在修补之前通过VPN、IP允许列表或反向代理规则限制访问。
- 使会话失效。 由于会话劫持是报道中漏洞链的一部分，考虑在更新后强制注销并轮换会话密钥。
- 轮换凭据。 更改管理员密码、API令牌以及存储在服务器上的任何密钥，尤其是在你怀疑已被入侵的情况下。
- 审查日志。 查找异常的管理员登录、意外命令、新账户或异常的出站连接。
- 以最小权限运行。 确保应用程序不以超出需要的系统权限运行，并将备份存储在服务器之外。
客户可以做什么来限制暴露
这对你意味着什么
大多数人无法为组织使用的帮助台软件打补丁，但如果其中一个被攻破，你可以减少所面临的风险。
- 在工单中少分享信息。 避免通过支持工单发送密码、完整身份证号码、支付详情或敏感文件。如果请求确实需要这些信息，请询问是否有更安全的渠道。
- 在添加附件前进行脱敏。 模糊或移除截图和日志中的个人详情。
- 使用唯一密码。 如果支持平台曾保存你发送的凭据，唯一密码可以限制损害。
- 关注泄露通知。 阅读你使用的服务发送的关于安全事件的电子邮件，并对要求你点击链接或确认详情的后续消息保持警惕。
- 预期钓鱼。 联系方式和工单上下文可能让诈骗消息看起来很有说服力。请通过组织的官方网站进行核实。
总结
据报道的Zammad零日远程代码执行链表明，单一帮助台平台如何变成通往客户数据和服务器控制权的门户。管理员应修补、限制访问并轮换密钥。其他人则可以通过工单发送较少敏感信息，并对泄露通知保持警惕。关于DIVD攻击完整经过，请阅读上方链接的现有报道。
