Debian DLA-2198-1: otrs2 セキュリティ更新

high Nessus プラグイン ID 136288

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

オープンソースチケットリクエストシステムである otrs2 に、いくつかの脆弱性が発見されました。

CVE-2020-1770

サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。

CVE-2020-1772

トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。

CVE-2020-1774

ユーザーがPGPまたはS/MIME鍵/証明書をダウンロードすると、エクスポートされたファイルに秘密鍵および公開鍵と同じ名前が付けられます。したがって、これらを組み合わせて、公開鍵ではなく秘密鍵をサードパーティに送信することが可能です。

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u15で修正されました。

お使いのotrs2パッケージのアップグレードをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。