OTRS – Fehlende SSL/TLS-Zertifikatsprüfung bei E-Mail-Abruf und -Versand

Beschreibung

Die Funktionen zum Abrufen von E-Mails per POP3 oder IMAP sowie zum Versand per SMTP nutzen OpenSSL für die SSL/TLS-basierte Kommunikation. Da die Funktion SSL_get_verify_result() nicht verwendet wird, wird das Zertifikat stets als vertrauenswürdig eingestuft, ohne dass sichergestellt ist, dass es die Sicherheitsanforderungen erfüllt. Ein Angreifer könnte ein ungültiges Zertifikat verwenden, um sich als vertrauenswürdiger Host auszugeben, oder abgelaufene Zertifikate einsetzen. Betroffen sind OTRS 7.0.X vor 7.0.47, 8.0.X vor 8.0.37 sowie ((OTRS)) Community Edition 6.0.X bis 6.0.34. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Aktualisierung auf OTRS 7.0.47 bzw. 8.0.37 oder neuer.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Znuny / OTRS

• CVE-2021-41182 – herstellerübergreifende Sicherheitslücke CVE-2021-41182
• Znuny / OTRS – Sicherheitslücke (CVE-2021-41184) CVE-2021-41184
• OTRS / ((OTRS)) Community Edition – Unauthentifizierte SQL-Injection mit Authentication Bypass CVE-2026-48188
• OTRS: Offenlegung von Klartext-Passwörtern im Agent- und External-Interface CVE-2023-6254
• OTRS/Znuny: Command Injection über SchedulerCronTaskModule CVE-2023-38056
• CVE-2018-17960 – Znuny / OTRS CVE-2018-17960