AI agent used Zammad zero-days to breach Dutch vulnerability disclosure non-profit

Un ata­que im­pul­sa­do por in­te­li­gen­cia ar­ti­fi­cial au­tó­no­ma vul­ne­ró al Ins­ti­tu­to Neer­lan­dés de Di­vul­ga­ción de Vul­ne­ra­bi­li­da­des me­dian­te el apro­ve­cha­mien­to de dos fa­llas de se­gu­ri­dad del tipo cero días pre­sen­tes en el sis­te­ma de ges­tión de tic­kets y so­por­te al clien­te Zam­mad. Estas de­fi­cien­cias per­mi­tie­ron a los ata­can­tes apo­de­rar­se de se­sio­nes, eje­cu­tar có­di­go de ma­ne­ra re­mo­ta y ele­var pri­vi­le­gios de ma­ne­ra in­me­dia­ta, lo­gran­do así in­gre­sar a otros ser­vi­cios, ade­más de leer y ex­traer in­for­ma­ción.

La or­ga­ni­za­ción afec­ta­da de­ta­lló que la ac­ción del agen­te au­to­ma­ti­za­do fue rá­pi­da pero des­or­de­na­da, ya que co­me­tió erro­res y com­bi­nó téc­ni­cas de ma­ne­ra poco or­to­do­xa, aun­que dejó co­men­ta­rios muy de­ta­lla­dos que fa­ci­li­ta­ron la in­ge­nie­ría in­ver­sa de los he­chos. Tras de­tec­tar la in­tru­sión y con­te­ner el avan­ce hacia otras zonas de la red gra­cias a la seg­men­ta­ción y a la res­pues­ta de su per­so­nal, la en­ti­dad no­ti­fi­có a las au­to­ri­da­des co­rres­pon­dien­tes y co­la­bo­ró para aler­tar a los res­pon­sa­bles de Zam­mad sobre lo su­ce­di­do.

Las vul­ne­ra­bi­li­da­des des­cu­bier­tas co­rres­pon­den a una falla que po­si­bi­li­ta la eje­cu­ción re­mo­ta de có­di­go sin ne­ce­si­dad de au­ten­ti­ca­ción, y a un pro­ble­ma de es­ca­la­da de pri­vi­le­gios que per­mi­te a un usua­rio local pasar a nivel de root. Hasta el mo­men­to no exis­ten par­ches de­fi­ni­ti­vos para ambas fa­llas, por lo que se re­co­mien­da a los usua­rios ac­tua­li­zar a la ver­sión siete del sis­te­ma o des­co­nec­tar­lo, ade­más de res­pal­dar los re­gis­tros de la red y la apli­ca­ción para fu­tu­ras re­vi­sio­nes me­dian­te un script fa­ci­li­ta­do por la or­ga­ni­za­ción.