Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしたユーザーによって生成された有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性がありました。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

次への更新：5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - インストーラーが、存在しないドキュメントを参照します

  - OTRSを4から5にアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれで可能性は極めて低いですが、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから悪意のあるJavaScriptを実行するようエージェントのブラウザを強制できます。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、次の画面のfromフィールドのなりすましが可能になります：AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint: : Config: : Rebuildをアップグレード後に実行します

  - 次への更新：5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：過度に長い拡張子を持つファイル名を提供することで、サービス拒否OTRSを無限ループに入れることができます。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

次への更新：5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458、boo#1141432、OSA-2019-12：

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合であっても、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09：情報漏洩。顧客または外部フロントエンドで、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩される可能性があります。

  - CVE-2019-12248, boo#1137615, OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05：

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04：

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、入念に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、入念に細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init この更新は次からインポートされました：openSUSE: Leap: 15.1: 更新プロジェクトを更新します。

OTRS (オープンソースのチケットリクエストシステム) が、コードインジェクションの脆弱性の影響を受けやすくなっていることが判明しました。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRS のコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。これは、コンテンツタイプの不適切な処理が関係しています。

Debian 8 'Jessie'では、この問題はバージョン3.3.18-1+deb8u8で修正されました。

お使いのotrs2パッケージのアップグレードをお勧めします。

注意: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

- 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41に更新しました/

  - bug#14912 - インストーラーが存在しないドキュメントを参照します

  - OTRSを4から5へアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、エージェントのブラウザが悪意のあるJavaScriptを実行させることが可能です。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、以下の画面のfromフィールドのなりすましが可能になります。AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint：：Config：：Rebuildをアップグレード後に実行します

  - 5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39を更新/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：サービス拒否OTRSは、過度に長い拡張子を持つファイル名を提供することで、無限ループに陥る可能性があります。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、 boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

- 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37に更新しました/

  - CVE-2019-13458、boo#1141432、OSA-2019-12に更新してください

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合でも、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497、boo#1137614、OSA-2019-09：情報漏洩。顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

  - CVE-2019-12248、boo#1137615、OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05に更新してください

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04に更新してください

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、慎重に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752、boo#1122560、OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Open Ticket Request SystemOTRSの 5.0.34より前 5.x の、 6.0.16より 6.x 前の 、 7.x より 7.0.4前の で問題が発見されました。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRS のコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。これは、Kernel/Modules/PictureUpload.pm の Content-type の不適切な処理に関連します。CVE-2019-9752

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
140741	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-1475）	Nessus	SuSE Local Security Checks	2020/9/23	2022/5/13	high
122956	Debian DLA-1721-1 : otrs2 セキュリティ更新	Nessus	Debian Local Security Checks	2019/3/20	2024/6/13	medium
136023	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-551）	Nessus	SuSE Local Security Checks	2020/4/28	2022/5/16	high
255633	Linux Distros のパッチ未適用の脆弱性: CVE-2019-9752	Nessus	Misc.	2025/8/26	2025/8/26	medium

検出

プラグインの検索

high

medium

high

medium