openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-551）

high Nessus プラグイン ID 136023

Language:

概要

リモートのopenSUSEホストに、セキュリティ更新プログラムがありません。

説明

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

- CVE-2020-1773 boo#1168029 OSA-2020-10：

- セッション/パスワード/パスワードトークンの漏洩認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

-CVE-2020-1772 boo#1168029 OSA-2020-09：

- 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。

- CVE-2020-1771 boo#1168030 OSA-2020-08：

- 顧客のユーザーアドレス帳内のXSSの可能性攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

- CVE-2020-1770 boo#1168031 OSA-2020-07：

- サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。

- CVE-2020-1769 boo#1168032 OSA-2020-06：

- フォームログイン画面でのオートコンプリートログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

- 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41に更新しました/

- bug#14912 - インストーラーが存在しないドキュメントを参照します

- OTRSを4から5へアップグレードするコードを追加しました

READ UPGRADING.SUSE

- ステップ1～4は、rpm pkgによって行われます

- ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

- CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、エージェントのブラウザが悪意のあるJavaScriptを実行させることが可能です。

- CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、以下の画面のfromフィールドのなりすましが可能になります。AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

- bin/otrs.Console.pl Maint：：Config：：Rebuildをアップグレード後に実行します

- 5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39を更新/

- CVE-2019-18180 boo#1157001 OSA-2019-15：サービス拒否OTRSは、過度に長い拡張子を持つファイル名を提供することで、無限ループに陥る可能性があります。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

- CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

- CVE-2019-16375、 boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

- 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37に更新しました/

- CVE-2019-13458、boo#1141432、OSA-2019-12に更新してください

情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

- CVE-2019-13457、 boo#1141431、 OSA-2019-11：

情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合でも、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

- CVE-2019-12746、boo#1141430、OSA-2019-10：

セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

- CVE-2019-12497、boo#1137614、OSA-2019-09：情報漏洩。顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

- CVE-2019-12248、boo#1137615、OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

- CVE-2019-10067、boo#1139406、OSA-2019-05に更新してください

Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

- CVE-2019-9892、boo#1139406、OSA-2019-04に更新してください

XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、慎重に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

- OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

- CVE-2019-9752、boo#1122560、OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

- 使われなくなったものを削除します

- otrs-scheduler.service

- otrs-scheduler.init