OTOBO 10.1.3 Security Patch

Details zur Admin-Schwachstelle und dem  Umgang damit in OTOBO:

In OTRS6 und bisherigen OTOBO Versionen besteht keine durchgehende rigide Trennung zwischen OTOBO Administrator-Rechten und Berechtigungen auf dem ausführenden Server. So gestatten einzelne Features explizit Zugriff auf den Server mit den Rechten des ausführenden Programms (z. B. apache2).

Auf den allermeisten Systeme wird dies kein ernsthaftes Problem darstellen, da die OTOBO Administratoren häufig ohnehin Zugriff auf den Server haben. Es mag aber durchaus Systeme geben, in denen OTOBO Administratoren diese Berechtigungen nicht zur Verfügung stehen sollen.

Grundsätzlich ist eine Trennung schon deshalb sinnvoll, um zu vermeiden, dass ein Angreifer, der sich OTOBO Administrator-Rechte verschafft hat, weitere Angriffspunkte auf dem Server findet.

Wir haben uns daher entschieden, die spezifischen Funktionalitäten als Security Issue zu behandeln und künftig nur noch nach einem expliziten „Opt-in“ des System Administrators in der  Config.pm verfügbar zu machen.

Zu diesem Zweck müssen ab OTOBO 10.0.16 / 10.1.3 folgende Optionen aus der Kernel/Config/Defaults.pm in die Kernel/Config.pm kopiert und dort aktiviert werden:

• Ticket::GenericAgentAllowCustomScriptExecution
• DashboardBackend::AllowCmdOutput