Zammad 5.2.1

Zammad Team
Tue, 05 Jul 2022 12:10:00 +0200

Dieser Security Patch beinhaltet ein Update zu vorangegangenen Korrekturen sowie die Lösung dreier neuer Probleme, welche mit dem Release 5.2 aufgetreten sind. 🛡️
Bitte lesen Sie weiter für Details:

Security Patch Level Release 🔐

Für das Issue aus 5.1.1 gibt es ein Update. Nachdem die fehlende Limitierung der Passwort-Vergessen-Funktion ergänzt wurde, war anschließend immer noch eine Manipulation möglich, bei welcher das Rate-Limit umgangen werden konnte. Ab 5.2.1 werden diese Manipulationen noch besser erkannt und eine Manipulation ist nicht mehr möglich.

Nach dem Update 5.2 konnten Kunden mit mehreren zugewiesenen Organisationen auswählen, mit welcher Organisation sie neue Tickets eröffnen möchten. Dabei konnten sie in der Auswahl nicht nur die eigenen, sondern alle Organisationen des Systems sehen. Dies haben wir nun behoben.

Uns haben auch Hinweise erreicht, dass der in Zammad eingebaute Schutz vor Brute-Force-Angriffen zum Erraten von Passwörtern teilweise umgangen werden konnte. Auch diese Lücke wurde nun geschlossen.

Zammad hat die Autorisierung für bestimmte Endpunkte von Anhängen nicht korrekt durchgeführt. Dies könnte von einem nicht authentifizierten Angreifer missbraucht werden, um Zugriff auf Anhänge wie E-Mails oder angehängte Dateien, zu erhalten.

Hinweis: 🏠 Gehostete Instanzen werden automatisch aktualisiert, sodass von Ihrer Seite keine Maßnahmen erforderlich sind.

Advisories

Das entsprechenden Advisories finden Sie hier:

https://zammad.com/en/advisories/zaa-2022-05

https://zammad.com/en/advisories/zaa-2022-06

https://zammad.com/en/advisories/zaa-2022-07

https://zammad.com/en/advisories/zaa-2022-08

Downloads

Alle Änderungen finden Sie wie immer im Changelog.

Download Zammad 5.2.1

Changelog

Source code

ftp.zammad.com/zammad-5.2.1.tar.bz2 (3f1a2bccc380c9c9b0174adc7bbc964d)

ftp.zammad.com/zammad-5.2.1.tar.gz (75263df698350ac811f55e4015a45f45)

ftp.zammad.com/zammad-5.2.1.zip (cb156da15638de8a21267d97fa2e20cd)

Packages

CentOS

Debian

Ubuntu

Docker-Compose

Upgrade

Informationen zu einem Upgrade Ihrer Zammad-Instanz finden Sie hier:

From source

With RPM

With DEB

Hinweise

Node.js dependency

Bitte beachten Sie, dass Sie ab Zammad 5.0 Node.js benötigen, um 'rake assets:precompile' auszuführen.
Dies betrifft alle Quellcode-Installationen und diejenigen, die Javascript- oder Stylesheet-Dateien in Zammad ändern.
Mehr dazu in der Dokumentation.