DebianDLA-1877-1: otrs2のセキュリティ更新プログラム

medium Nessus プラグイン ID 127920

Language:

概要

リモートのDebianホストにセキュリティ更新プログラムがありません。

説明

周知のトラブルチケットシステムであるotrs2で、いくつかのセキュリティ問題が修正されました。

CVE-2018-11563

顧客としてOTRSにログインした攻撃者が、チケット概要画面を使用して、顧客のチケットの内部記事情報を漏えいする可能性があります。

CVE-2019-12746

エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏えいしてしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

CVE-2019-13458

適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏えいさせる可能性があります。

CVE-2019-12248の修正が不完全だったため、電子メールの添付ファイルを表示することができなくなりました。この更新では、新しいTicket::Fronted::BlockLoadingRemoteContent オプションが正しく実装されています。

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1~deb8u11で修正されました。

お使いのotrs2パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。