Debian DLA-2079-1 : otrs2 セキュリティ更新

medium Nessus プラグイン ID 133318

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

otrs2パッケージに、認証されていないアクセス、リモートコード実行、およびなりすましを引き起こす可能性がある複数の脆弱性が発見されました。

CVE-2020-1765

パラメーターの制御が不適切であるため、以下の画面のfromフィールドが偽装される可能性があります: AgentTicketCompose、AgentTicketForward、AgentTicketBounce。

CVE-2020-1766

アップロード画像の不適切な処理により、ごくまれな状況において、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、悪意のあるJavaScriptをエージェントのブラウザーが実行するようにさせることが可能です。

CVE-2020-1767

下書きの非認証表示、テキストを完全に変更して、下書き所有者の名前で送信。顧客には、メッセージが別のエージェントによって送信されたことが認識されません。

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u13で修正されました。

お使いのotrs2パッケージのアップグレードをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。