Otrs was updated to 5.0.42, fixing lots of bugs and security issues :

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10 :

  - Session / Password / Password token leak An attacker     with the ability to generate session IDs or password     reset tokens, either by being able to authenticate or by     exploiting OSA-2020-09, may be able to predict other     users session IDs, password reset tokens and     automatically generated passwords.

  - CVE-2020-1772 boo#1168029 OSA-2020-09 :

  - Information Disclosure It&rsquo;s possible to craft Lost     Password requests with wildcards in the Token value,     which allows attacker to retrieve valid Token(s),     generated by users which already requested new     passwords.

  - CVE-2020-1771 boo#1168030 OSA-2020-08 :

  - Possible XSS in Customer user address book Attacker is     able craft an article with a link to the customer     address book with malicious content (JavaScript). When     agent opens the link, JavaScript code is executed due to     the missing parameter encoding.

  - CVE-2020-1770 boo#1168031 OSA-2020-07 :

  - Information disclosure in support bundle files Support     bundle generated files could contain sensitive     information that might be unwanted to be disclosed.

  - CVE-2020-1769 boo#1168032 OSA-2020-06 :

  - Autocomplete in the form login screens In the login     screens (in agent and customer interface), Username and     Password fields use autocomplete, which might be     considered as security issue.

Update to 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - Installer refers to non-existing     documentation

  - added code to upgrade OTRS from 4 to 5

    READ UPGRADING.SUSE

  - steps 1 to 4 are done by rpm pkg

  - steps 5 to *END* need to be done manually cause of DB     backup

Update to 5.0.40

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02: Improper handling     of uploaded inline images Due to improper handling of     uploaded images it is possible in very unlikely and rare     conditions to force the agents browser to execute     malicious JavaScript from a special crafted SVG file     rendered as inline jpg file.

  - CVE-2020-1765, OSA-2020-01: Spoofing of From field in     several screens An improper control of parameters allows     the spoofing of the from fields of the following     screens: AgentTicketCompose, AgentTicketForward,     AgentTicketBounce and AgentTicketEmailOutbound

  - run bin/otrs.Console.pl Maint::Config::Rebuild after the     upgrade

  - Update 5.0.39     https://community.otrs.com/otrs-community-edition-5s-pat     ch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15: Denial of     service OTRS can be put into an endless loop by     providing filenames with overly long extensions. This     applies to the PostMaster (sending in email) and also     upload (attaching files to mails, for example).

  - CVE-2019-18179 OSA-2019-14: Information Disclosure An     attacker who is logged into OTRS as an agent is able to     list tickets assigned to other agents, which are in the     queue where attacker doesn&rsquo;t have permissions.

Update to 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375, boo#1156431 OSA-2019-13: Stored XXS An     attacker who is logged into OTRS as an agent or customer     user with appropriate permissions can create a carefully     crafted string containing malicious JavaScript code as     an article body. This malicious code is executed when an     agent compose an answer to the original article.

Update to 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458, boo#1141432, OSA-2019-12 :

    Information Disclosure An attacker who is logged into     OTRS as an agent user with appropriate permissions can     leverage OTRS tags in templates in order to disclose     hashed user passwords.

  - CVE-2019-13457, boo#1141431, OSA-2019-11 :

    Information Disclosure A customer user can use the     search results to disclose information from their     &ldquo;company&rdquo; tickets (with the same     CustomerID), even when     CustomerDisableCompanyTicketAccess setting is turned on.

  - CVE-2019-12746, boo#1141430, OSA-2019-10 :

    Session ID Disclosure A user logged into OTRS as an     agent might unknowingly disclose their session ID by     sharing the link of an embedded ticket article with     third parties. This identifier can be then potentially     abused in order to impersonate the agent user.

Update to 5.0.36

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09: Information     Disclosure In the customer or external frontend,     personal information of agents can be disclosed like     Name and mail address in external notes.

  - CVE-2019-12248, boo#1137615, OSA-2019-08: Loading     External Image Resources An attacker could send a     malicious email to an OTRS system. If a logged in agent     user quotes it, the email could cause the browser to     load external image resources.

Update to 5.0.35

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067, boo#1139406, OSA-2019-05 :

    Reflected and Stored XSS An attacker who is logged into     OTRS as an agent user with appropriate permissions may     manipulate the URL to cause execution of JavaScript in     the context of OTRS.

  - CVE-2019-9892, boo#1139406, OSA-2019-04 :

    XXE Processing An attacker who is logged into OTRS as an     agent user with appropriate permissions may try to     import carefully crafted Report Statistics XML that will     result in reading of arbitrary files of OTRS filesystem.

  - update missing CVE for OSA-2018-10, OSA-2019-01

Update to 5.0.34

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01: Stored XSS An     attacker who is logged into OTRS as an agent or a     customer user may upload a carefully crafted resource in     order to cause execution of JavaScript in the context of     OTRS.

Update to 5.0.33

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

Update to 5.0.26

- https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - remove obsolete

  - otrs-scheduler.service

  - otrs-scheduler.init This update was imported from the     openSUSE:Leap:15.1:Update update project.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Open Ticket Request System (OTRS) 7.x through 7.0.6 and Community Edition 5.0.x     through 5.0.35 and 6.0.x through 6.0.17. An attacker who is logged into OTRS as an agent user with     appropriate permissions may manipulate the URL to cause execution of JavaScript in the context of OTRS.
    (CVE-2019-10067)

Note that Nessus relies on the presence of the package as reported by the vendor.

Otrs was updated to 5.0.42, fixing lots of bugs and security issues :

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10 :

  - Session / Password / Password token leak An attacker     with the ability to generate session IDs or password     reset tokens, either by being able to authenticate or by     exploiting OSA-2020-09, may be able to predict other     users session IDs, password reset tokens and     automatically generated passwords.

  - CVE-2020-1772 boo#1168029 OSA-2020-09 :

  - Information Disclosure It&rsquo;s possible to craft Lost     Password requests with wildcards in the Token value,     which allows attacker to retrieve valid Token(s),     generated by users which already requested new     passwords.

  - CVE-2020-1771 boo#1168030 OSA-2020-08 :

  - Possible XSS in Customer user address book Attacker is     able craft an article with a link to the customer     address book with malicious content (JavaScript). When     agent opens the link, JavaScript code is executed due to     the missing parameter encoding.

  - CVE-2020-1770 boo#1168031 OSA-2020-07 :

  - Information disclosure in support bundle files Support     bundle generated files could contain sensitive     information that might be unwanted to be disclosed.

  - CVE-2020-1769 boo#1168032 OSA-2020-06 :

  - Autocomplete in the form login screens In the login     screens (in agent and customer interface), Username and     Password fields use autocomplete, which might be     considered as security issue.

Update to 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - Installer refers to non-existing     documentation

  - added code to upgrade OTRS from 4 to 5

    READ UPGRADING.SUSE

  - steps 1 to 4 are done by rpm pkg

  - steps 5 to *END* need to be done manually cause of DB     backup

Update to 5.0.40

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02: Improper handling     of uploaded inline images Due to improper handling of     uploaded images it is possible in very unlikely and rare     conditions to force the agents browser to execute     malicious JavaScript from a special crafted SVG file     rendered as inline jpg file.

  - CVE-2020-1765, OSA-2020-01: Spoofing of From field in     several screens An improper control of parameters allows     the spoofing of the from fields of the following     screens: AgentTicketCompose, AgentTicketForward,     AgentTicketBounce and AgentTicketEmailOutbound

  - run bin/otrs.Console.pl Maint::Config::Rebuild after the     upgrade

  - Update 5.0.39     https://community.otrs.com/otrs-community-edition-5s-pat     ch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15: Denial of     service OTRS can be put into an endless loop by     providing filenames with overly long extensions. This     applies to the PostMaster (sending in email) and also     upload (attaching files to mails, for example).

  - CVE-2019-18179 OSA-2019-14: Information Disclosure An     attacker who is logged into OTRS as an agent is able to     list tickets assigned to other agents, which are in the     queue where attacker doesn&rsquo;t have permissions.

Update to 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375, boo#1156431 OSA-2019-13: Stored XXS An     attacker who is logged into OTRS as an agent or customer     user with appropriate permissions can create a carefully     crafted string containing malicious JavaScript code as     an article body. This malicious code is executed when an     agent compose an answer to the original article.

Update to 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458, boo#1141432, OSA-2019-12 :

    Information Disclosure An attacker who is logged into     OTRS as an agent user with appropriate permissions can     leverage OTRS tags in templates in order to disclose     hashed user passwords.

  - CVE-2019-13457, boo#1141431, OSA-2019-11 :

    Information Disclosure A customer user can use the     search results to disclose information from their     &ldquo;company&rdquo; tickets (with the same     CustomerID), even when     CustomerDisableCompanyTicketAccess setting is turned on.

  - CVE-2019-12746, boo#1141430, OSA-2019-10 :

    Session ID Disclosure A user logged into OTRS as an     agent might unknowingly disclose their session ID by     sharing the link of an embedded ticket article with     third parties. This identifier can be then potentially     abused in order to impersonate the agent user.

Update to 5.0.36

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09: Information     Disclosure In the customer or external frontend,     personal information of agents can be disclosed like     Name and mail address in external notes.

  - CVE-2019-12248, boo#1137615, OSA-2019-08: Loading     External Image Resources An attacker could send a     malicious email to an OTRS system. If a logged in agent     user quotes it, the email could cause the browser to     load external image resources.

Update to 5.0.35

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067, boo#1139406, OSA-2019-05 :

    Reflected and Stored XSS An attacker who is logged into     OTRS as an agent user with appropriate permissions may     manipulate the URL to cause execution of JavaScript in     the context of OTRS.

  - CVE-2019-9892, boo#1139406, OSA-2019-04 :

    XXE Processing An attacker who is logged into OTRS as an     agent user with appropriate permissions may try to     import carefully crafted Report Statistics XML that will     result in reading of arbitrary files of OTRS filesystem.

  - update missing CVE for OSA-2018-10, OSA-2019-01

Update to 5.0.34

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01: Stored XSS An     attacker who is logged into OTRS as an agent or a     customer user may upload a carefully crafted resource in     order to cause execution of JavaScript in the context of     OTRS.

Update to 5.0.33

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

Update to 5.0.26

- https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - remove obsolete

  - otrs-scheduler.service

  - otrs-scheduler.init

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

- 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41に更新しました/

  - bug#14912 - インストーラーが存在しないドキュメントを参照します

  - OTRSを4から5へアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、エージェントのブラウザが悪意のあるJavaScriptを実行させることが可能です。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、以下の画面のfromフィールドのなりすましが可能になります。AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint：：Config：：Rebuildをアップグレード後に実行します

  - 5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39を更新/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：サービス拒否OTRSは、過度に長い拡張子を持つファイル名を提供することで、無限ループに陥る可能性があります。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、 boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

- 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37に更新しました/

  - CVE-2019-13458、boo#1141432、OSA-2019-12に更新してください

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合でも、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497、boo#1137614、OSA-2019-09：情報漏洩。顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

  - CVE-2019-12248、boo#1137615、OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05に更新してください

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04に更新してください

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、慎重に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752、boo#1122560、OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Open Ticket Request SystemOTRS 7.x から 7.0.6 、Community Edition 5.0.x から 5.0.35 および 6.0.x から 6.0.17で問題が発見されました。適切な権限を持つエージェントユーザーとして OTRS にログインしている攻撃者が、URL を操作して OTRS のコンテキストで JavaScript を実行する可能性があります。
    (CVE-2019-10067)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしたユーザーによって生成された有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性がありました。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

次への更新：5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - インストーラーが、存在しないドキュメントを参照します

  - OTRSを4から5にアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれで可能性は極めて低いですが、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから悪意のあるJavaScriptを実行するようエージェントのブラウザを強制できます。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、次の画面のfromフィールドのなりすましが可能になります：AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint: : Config: : Rebuildをアップグレード後に実行します

  - 次への更新：5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：過度に長い拡張子を持つファイル名を提供することで、サービス拒否OTRSを無限ループに入れることができます。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

次への更新：5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458、boo#1141432、OSA-2019-12：

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合であっても、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09：情報漏洩。顧客または外部フロントエンドで、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩される可能性があります。

  - CVE-2019-12248, boo#1137615, OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05：

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04：

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、入念に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、入念に細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init この更新は次からインポートされました：openSUSE: Leap: 15.1: 更新プロジェクトを更新します。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Open Ticket Request System (OTRS) 7.x 至 7.0.6 、Community Edition 5.0.x 至 5.0.35 和 6.0.x 至 6.0.17中发现一个问题。以具有适当权限的代理用户的身份登录 OTRS 的攻击者可能会操纵 URL 造成 OTRS 环境中执行 JavaScript。
    (CVE-2019-10067)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Open Ticket Request System (OTRS) 7.x 至 7.0.6 以及 Community Edition 5.0.x 至 5.0.35 和 6.0.x 至 6.0.17中發現一個問題。以具有適當權限的代理程式使用者身分登入 OTRS 的攻擊者可能會操控 URL在 OTRS 內容中造成 JavaScript 執行。
    (CVE-2019-10067)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
140741	openSUSE Security Update : otrs (openSUSE-2020-1475)	Nessus	SuSE Local Security Checks	2020/9/23	2022/5/13	high
254070	Linux Distros Unpatched Vulnerability : CVE-2019-10067	Nessus	Misc.	2025/8/24	2025/8/24	medium
136023	openSUSE Security Update : otrs (openSUSE-2020-551)	Nessus	SuSE Local Security Checks	2020/4/28	2022/5/16	high
136023	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-551）	Nessus	SuSE Local Security Checks	2020/4/28	2022/5/16	high
254070	Linux Distros のパッチ未適用の脆弱性: CVE-2019-10067	Nessus	Misc.	2025/8/24	2025/8/24	medium
140741	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-1475）	Nessus	SuSE Local Security Checks	2020/9/23	2022/5/13	high
254070	Linux Distros 未修补的漏洞：CVE-2019-10067	Nessus	Misc.	2025/8/24	2025/8/24	medium
254070	Linux Distros 未修補的弱點：CVE-2019-10067	Nessus	Misc.	2025/8/24	2025/8/24	medium

検出

プラグインの検索

high

medium

high

high

medium

high

medium

medium