チケットリクエストシステムであるOTRSに、権限昇格または任意のファイル書き込みにつながる可能性がある、2つのセキュリティ脆弱性が発見されました。

CVE-2018-19141

管理者ユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

CVE-2018-19143

ユーザーとしてOTRSにログインしている攻撃者が送信フォームを操作して、OTRS Webサーバーのユーザーが書き込みアクセス権を持つ任意のファイルを削除する可能性があります。

CVE-2018-19141のアップストリームアドバイザリーも参照してください。影響を受ける可能性があると思われる場合は、前述のクリーンアップSQLステートメントを実行し、影響を受ける可能性のあるレコードを削除することを検討してください。

https://community.otrs.com/security-advisory-2018-09-security-update-f or-otrs-framework/

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u7で修正されました。

otrs2パッケージのアップグレードをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1592-1: otrs2のセキュリティ更新

medium Nessus プラグイン ID 119120

変更ログが見つかりません