Debian DSA-2867-1：otrs2 - いくつかの脆弱性

high Nessus プラグイン ID 72655

Language:

概要

リモート Debian ホストに、セキュリティ更新がありません。

説明

オープンチケットリクエストシステムである otrs2 に、いくつかの脆弱性が発見されました。Common Vulnerabilities and Exposures プロジェクトは次の問題を特定しています：

- CVE-2014-1694 Norihiro Tanaka 氏は、チャレンジトークンチェックの欠落を報告しました。
ログインしている顧客のセッションを奪い取ろうとする攻撃者が、これらのチェックが欠落しているため、チケットを作成したり、既存のチケットにフォローアップを送信したりする可能性があります。

- CVE-2014-1471 Vasgard GmbH の Karsten Nielsen 氏は、有効な顧客やエージェントのログインを持つ攻撃者が、チケット検索 URL を通じて、SQL コードを注入する可能性があることを発見しました。

ソリューション

otrs2 パッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（squeeze）では、これらの問題はバージョン 2.4.9+dfsg1-3+squeeze5 で修正されています。

安定版（stable）ディストリビューション（wheezy）では、これらの問題はバージョン 3.1.7+dfsg1-8+deb7u4 で修正されています。