DebianDLA-1816-1: otrs2のセキュリティ更新プログラム

medium Nessus プラグイン ID 125836

Language:

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

Open Ticket Request Systemに、情報漏洩または権限昇格が発生する可能性のある2つのセキュリティ脆弱性が見つかりました。これらの問題を解決するため、新しい構成オプションが追加されました。

CVE-2019-12248

攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

CVE-2019-12497

顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u10で修正されました。

お使いのotrs2パッケージのアップグレードを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。