Francesco Sirocco discovered a flaw in otrs2, the Open Ticket Request System, which could result in session information disclosure when cookie support is disabled. A remote attacker can take advantage of this flaw to take over an agent's session if the agent is tricked into clicking a link in a specially crafted mail.

For Debian 7 'Wheezy', these problems have been fixed in version 3.3.18-1~deb7u3.

We recommend that you upgrade your otrs2 packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Francsco Sirocco氏は、Open Ticket Request Systemであるotrs2に欠陥を発見しました。これにより、クッキーのサポートが無効な場合に、セッション情報の漏洩が発生する可能性があります。リモートの攻撃者がこの欠陥を利用して、エージェントが騙されて特別に細工されたメールのリンクをクリックした場合に、エージェントのセッションを乗っ取る可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン3.3.18-1~deb7u3で修正されました。

お使いのotrs2パッケージのアップグレードをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Francesco Sirocco 在開放式票證要求系統 otrs2 中發現一個缺陷，會導致停用 cookie 支援時造成工作階段資訊洩漏。遠端攻擊者會利用此缺陷，若成功誘騙代理程式點選特製電子郵件中的連結，即可藉此接管代理程式的工作階段。針對 Debian 7「Wheezy」，這些問題已在 3.3.18-1~deb7u3 版本中修正。我們建議您升級 otrs2 套件。注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Francesco Sirocco 在开放票证请求系统 otrs2 中发现一个缺陷，在禁用 cookie 支持时可导致会话信息泄露。如果代理被诱骗单击特制邮件中的链接，远程攻击者可利用此缺陷来接管代理的会话。对于 Debian 7“Wheezy”，这些问题已在 3.318-1+deb7u3 版本中修复。我们建议您升级 otrs2 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

Francsco Sirocco氏は、Open Ticket Request Systemであるotrs2に欠陥を発見しました。これにより、クッキーのサポートが無効な場合に、セッション情報の漏洩が発生する可能性があります。リモート攻撃者がこの欠陥を利用して、エージェントが騙されて特別に細工されたメールのリンクをクリックした場合に、エージェントのセッションを乗っ取る可能性があります。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Open Ticket Request SystemOTRSの 4.0.x より前の 4.0.28、 5.0.x より前の 5.0.26、および 6.0.x より前の 6.0.3では、クッキーサポートが無効のとき、リモートの攻撃者が、細工された電子メールを通じて、Web セッションをハイジャックして、結果として権限を取得できることがあります。CVE-2017-17476

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Francesco Sirocco discovered a flaw in otrs2, the Open Ticket Request System, which could result in session information disclosure when cookie support is disabled. A remote attacker can take advantage of this flaw to take over an agent's session if the agent is tricked into clicking a link in a specially crafted mail.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Open Ticket Request System (OTRS) 4.0.x before 4.0.28, 5.0.x before 5.0.26, and 6.0.x before 6.0.3, when     cookie support is disabled, might allow remote attackers to hijack web sessions and consequently gain     privileges via a crafted email. (CVE-2017-17476)

Note that Nessus relies on the presence of the package as reported by the vendor.

Francesco Sirocco 在開放式票證要求系統 otrs2 中發現一個缺陷，會導致停用 cookie 支援時造成工作階段資訊洩漏。遠端攻擊者會利用此缺陷，若成功誘騙代理程式點選特製電子郵件中的連結，即可藉此接管代理程式的工作階段。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 停用 Cookie 支援時在 4.0.x ] 之前的 4.0.28、 5.0.x 之前的 5.0.26和 6.0.x 之前的 6.0.3可能允許遠端攻擊者劫持 Web 工作階段並因此透過特製的電子郵件取得權限。 (CVE-2017-17476)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Francesco Sirocco 在开放票证请求系统 otrs2 中发现一个缺陷，在禁用 cookie 支持时可导致会话信息泄露。如果代理被诱骗单击特制邮件中的链接，远程攻击者可利用此缺陷来接管代理的会话。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.0.x4.0.28] 之前的  、 5.0.x [] 之前的 5.0.26以及 6.0.x 之前的 6.0.3在禁用 cookie 支持时可能允许远程攻击者通过特制的电子邮件劫持 Web 会话并因此获得权限。 (CVE-2017-17476)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
105396	Debian DLA-1215-1 : otrs2 security update	Nessus	Debian Local Security Checks	2017/12/21	2021/1/11	high
105396	Debian DLA-1215-1: otrs2 セキュリティ更新	Nessus	Debian Local Security Checks	2017/12/21	2021/1/11	high
105396	Debian DLA-1215-1：otrs2 安全性更新	Nessus	Debian Local Security Checks	2017/12/21	2021/1/11	high
105396	Debian DLA-1215-1：otrs2 安全更新	Nessus	Debian Local Security Checks	2017/12/21	2021/1/11	high
105397	DebianDSA-4069-1：otrs2 - セキュリティ更新	Nessus	Debian Local Security Checks	2017/12/21	2021/1/4	high
256312	Linux Distros のパッチ未適用の脆弱性: CVE-2017-17476	Nessus	Misc.	2025/8/27	2025/8/27	high
105397	Debian DSA-4069-1 : otrs2 - security update	Nessus	Debian Local Security Checks	2017/12/21	2021/1/4	high
256312	Linux Distros Unpatched Vulnerability : CVE-2017-17476	Nessus	Misc.	2025/8/27	2025/8/27	high
105397	Debian DSA-4069-1：otrs2 - 安全性更新	Nessus	Debian Local Security Checks	2017/12/21	2021/1/4	high
256312	Linux Distros 未修補的弱點：CVE-2017-17476	Nessus	Misc.	2025/8/27	2025/8/27	high
105397	Debian DSA-4069-1：otrs2 - 安全更新	Nessus	Debian Local Security Checks	2017/12/21	2021/1/4	high
256312	Linux Distros 未修补的漏洞：CVE-2017-17476	Nessus	Misc.	2025/8/27	2025/8/27	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high