Open Ticket Request Systemに、情報漏洩または権限昇格が発生する可能性のある2つのセキュリティ脆弱性が見つかりました。これらの問題を解決するため、新しい構成オプションが追加されました。

CVE-2019-12248

攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

CVE-2019-12497

顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u10で修正されました。

お使いのotrs2パッケージのアップグレードを推奨します。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしたユーザーによって生成された有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性がありました。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

次への更新：5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41/

  - bug#14912 - インストーラーが、存在しないドキュメントを参照します

  - OTRSを4から5にアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれで可能性は極めて低いですが、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから悪意のあるJavaScriptを実行するようエージェントのブラウザを強制できます。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、次の画面のfromフィールドのなりすましが可能になります：AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint: : Config: : Rebuildをアップグレード後に実行します

  - 次への更新：5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：過度に長い拡張子を持つファイル名を提供することで、サービス拒否OTRSを無限ループに入れることができます。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

次への更新：5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37/

  - CVE-2019-13458、boo#1141432、OSA-2019-12：

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合であっても、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497, boo#1137614, OSA-2019-09：情報漏洩。顧客または外部フロントエンドで、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩される可能性があります。

  - CVE-2019-12248, boo#1137615, OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05：

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04：

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、入念に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752, boo#1122560, OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、入念に細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init この更新は次からインポートされました：openSUSE: Leap: 15.1: 更新プロジェクトを更新します。

リモートの Debian 10 ホストには、dla-3551 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Object.prototype が汚染されているため、Drupal、Backdrop CMS、および他の製品で使用されている、3.4.0 より前の jQuery が jQuery.extend(true,{}, ...) を誤って処理します。サニタイズされていないソースオブジェクトに列挙可能な
    __proto__ property が含まれている場合、ネイティブの Object.prototype を拡張できる可能性があります。(CVE-2019-11358)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.7、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。攻撃者が、悪意のあるメールを OTRS システムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。(CVE-2019-12248)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。顧客または外部フロントエンドでは、エージェントの個人情報 (外部注記の名前やメールアドレスなど) が漏洩する可能性があります。(CVE-2019-12497)

  - Open Ticket Request System (OTRS) Community Edition 5.0.x から 5.0.36、および 6.0.x から 6.0.19 で問題が見つかりました。エージェントとして OTRS にログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッション ID を漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。(CVE-2019-12746)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 5.0.x から 5.0.36、および 6.0.x から 6.0.19 で問題が見つかりました。適切な権限を持つエージェントユーザーとして OTRS にログインした攻撃者が、テンプレート内の OTRS 通知タグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。(CVE-2019-13458)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.11、Community Edition 5.0.x から 5.0.37、および 6.0.x から 6.0.22 で問題が見つかりました。適切な権限を持つエージェントまたは顧客ユーザーとしてログインした攻撃者が、悪意のある JavaScript コードを記事の本文として含む、巧みに細工された文字列を作成する可能性があります。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。
    (CVE-2019-16375)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.12、Community Edition 5.0.x から 5.0.38、および 6.0.x から 6.0.23 で問題が見つかりました。OTRS にエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。(CVE-2019-18179)

  - ((OTRS)) Community Edition および OTRS の PostMaster (電子メールの送信) またはファイルのアップロード (メールの添付など) で、過度に長い拡張子を持つファイル名が適切にチェックされません。この問題の影響を受ける対象: OTRS AG: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.38、および 6.0.x のバージョン 6.0.23 より前のバージョン。OTRS AG: OTRS 7.0.x のバージョン 7.0.12 より前のバージョン。(CVE-2019-18180)

  - 1.2 以降 3.5.0 より前のバージョンの jQuery では、信頼できないソースからの HTML を jQuery の DOM 操作メソッドの 1 つ (.html()、.append() など) に渡すと、HTML がサニタイズされた後でも、信頼できないコードが実行されることがあります。jQuery 3.5.0でこの問題に対するパッチが適用されています。(CVE-2020-11022)

  - 1.0.3以降 3.5.0より前のバージョンの jQuery では、信頼できないソースからの <option>要素を含む HTML を jQuery の DOM 操作メソッドの 1 つ (.html()、.append() など) に渡すと、HTML がサニタイズされた後でも、信頼できないコードが実行されることがあります。jQuery 3.5.0でこの問題に対するパッチが適用されています。
    (CVE-2020-11023)

  - パラメーターの制御が不適切であるため、
    AgentTicketCompose、AgentTicketForward、AgentTicketBounce および AgentTicketEmailOutbound 画面のスプーフィングが可能です。この問題の影響を受ける対象: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.39、および 6.0.x のバージョン 6.0.24 より前のバージョン。OTRS 7.0.x のバージョン 7.0.13 より前のバージョン。(CVE-2020-1765)

  - アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インライン jpg ファイルとしてレンダリングされる、特別に細工された SVG ファイルから、エージェントのブラウザが悪意のある javascript を実行させることが可能です。この問題の影響を受ける対象: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.39、および 6.0.x のバージョン 6.0.24 以前のバージョン。OTRS 7.0.x のバージョン 7.0.13 以前のバージョン。(CVE-2020-1766)

  - エージェント A は顧客返信用などの下書きを保存できます。その後、エージェント B は下書きを開き、テキストを完全に変更して、エージェント A の名前で送信できます。顧客には、メッセージが別のエージェントによって送信されたことは表示されません。この問題の影響を受ける対象: ((OTRS)) Community Edition 6.0.x のバージョン 6.0.24 以前のバージョン。OTRS 7.0.x のバージョン 7.0.13 以前のバージョン。(CVE-2020-1767)

  - ログイン画面 (エージェントおよび顧客のインターフェース内) では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。この問題の影響を受ける対象: ((OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1769)

  - サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。
    この問題の影響を受ける対象: ((OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。
    OTRS:7.0.15 以前のバージョン。(CVE-2020-1770)

  - 攻撃者が、悪意のあるコンテンツ (JavaScript) を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScript コードが実行されます。この問題の影響を受ける対象: ((OTRS)) Community Edition:6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1771)

  - トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。この問題の影響を受ける対象:
    ((OTRS)) Community Edition 5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1772)

  - 認証できるようにすることによってまたは OSA-2020-09 を悪用することによって、セッション ID またはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッション ID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。この問題の影響を受ける対象: (OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS: 7.0.15 以前のバージョン。(CVE-2020-1773)

  - ユーザーが PGP または S/MIME 鍵/証明書をダウンロードすると、エクスポートされたファイルに秘密鍵および公開鍵と同じ名前が付けられます。したがって、これらを組み合わせて、公開鍵ではなく秘密鍵をサードパーティに送信することが可能です。この問題の影響を受ける対象: (OTRS)) Community Edition:5.0.42 以前のバージョン、6.0.27 以前のバージョン。
    OTRS:7.0.16 以前のバージョン。(CVE-2020-1774)

  - エージェントユーザーの名前が変更されたり、無効に設定されたりすると、そのユーザーに属するセッションはアクティブに保たれます。エージェントが無効な場合、セッションを使用してチケットデータにアクセスすることはできません。この問題の影響を受ける対象: (OTRS)) Community Edition:6.0.28 以前のバージョン。OTRS:7.0.18 以前のバージョン、8.0.4 以前のバージョン。(CVE-2020-1776)

  - jQuery Validation Plugin は、既存のフォームに対するドロップイン検証を提供します。npm パッケージ jquery-validation として公開されています。バージョン 1.19.3 より前の jquery-validation には、ReDoS (正規表現サービス拒否) に対して脆弱な正規表現が 1 つ以上含まれています。これは 1.19.3で修正されています。
    (CVE-2021-21252)

  - メールの本文に特別に設計された URL が含まれていると、DoS 攻撃が実行される可能性があります。CPU 使用率が高くなり、サービスの質が低下したり、極端な場合にはシステムが停止したりする可能性があります。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.26 より前のバージョン、および 8.0.x のバージョン 8.0.13 より前のバージョン。(CVE-2021-21439)

  - 格納フォルダーが非表示でない場合、S/MIME および PGP の秘密鍵が生成されたサポートバンドルに含められます。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.27 より前のバージョン、および 8.0.x のバージョン 8.0.14 より前のバージョン。(CVE-2021-21440)

  - チケット概要画面に XSS の脆弱性があります。概要画面にメールを表示させて、さまざまな情報を収集することが可能です。特別に細工された電子メールをシステムに送信することで攻撃を実行でき、ユーザーによる操作は必要ありません。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.26 以前のバージョン。(CVE-2021-21441)

  - エージェントは、一括アクション画面で、必要な権限がなくても顧客ユーザーのメールを一覧表示できます。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition:6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS:
    7.0.27 より前の 7.0.x バージョン。(CVE-2021-21443)

  - エージェントが、必要な権限がなくてもカレンダーに予定を一覧表示させることができます。この問題の影響を受ける対象:
    OTRS AG ((OTRS)) Community Edition:6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS:7.0.27 より前の 7.0.x バージョン。(CVE-2021-36091)

  - OTRS システム構成の特別に細工された文字列を使用して、任意のシステムコマンドを実行できる可能性があります。
    (CVE-2021-36100)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「altField」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「altField」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「altField」オプションの値を受け入れないことです。
    (CVE-2021-41182)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「*Text」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。さまざまな「* Text」オプションに渡される値が、HTML ではなく常に純粋なテキストとして処理されるようになりました。回避策は、信頼できないソースからの「*Text」オプションの値を受け入れないことです。(CVE-2021-41183)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0 以前では、信頼されていないソースから「.position()」util の「of」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「of」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「of」オプションの値を受け入れないことです。(CVE-2021-41184)

  - OTRS AG OTRS、OTRS AG ((OTRS)) Community Edition での不適切な入力検証の脆弱性により、TicketSearch Webservice による SQL インジェクションが可能になります。この問題の影響を受ける対象: OTRS:7.0.40 パッチ 1 より前の 7.0.1 以降、8.0.28 パッチ 1 より前の 8.0.1 以降、((OTRS)) Community Edition:6.0.1 から 6.0.34 以降。(CVE-2022-4427)

  - OTRS ジェネリックインターフェースモジュールの TicketCreate または TicketUpdate 操作で添付ファイルの ContentType パラメーターの入力が適切に検証されないという脆弱性のため、認証された攻撃者が添付ファイルの ContentType ヘッダーに対してホストヘッダーインジェクションを実行する可能性があります。この問題の影響を受ける対象: OTRS:
    7.0.45 より前の 7.0.X 以降、8.0.35 より前の 8.0.X 以降、((OTRS)) Community Edition:6.0.1 から 6.0.34 以降。
    (CVE-2023-38060)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Otrsは5.0.42に更新され、多数のバグとセキュリティ問題が修正されました：

https://community.otrs.com/otrs-community-edition-5s-patch-level-42/

  - CVE-2020-1773 boo#1168029 OSA-2020-10：

  - セッション/パスワード/パスワードトークンの漏洩 認証できるようにすることによってまたはOSA-2020-09を悪用することによって、セッションIDまたはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッションID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。

  -CVE-2020-1772 boo#1168029 OSA-2020-09：

  - 情報漏洩。トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。

  - CVE-2020-1771 boo#1168030 OSA-2020-08：

  - 顧客のユーザーアドレス帳内のXSSの可能性 攻撃者が、悪意のあるコンテンツ（JavaScript）を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScriptコードが実行されます。

  - CVE-2020-1770 boo#1168031 OSA-2020-07：

  - サポートバンドルファイルでの情報漏洩。サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。

  - CVE-2020-1769 boo#1168032 OSA-2020-06：

  - フォームログイン画面でのオートコンプリート ログイン画面（エージェントおよび顧客のインターフェイス内）では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。

- 5.0.41 https://community.otrs.com/otrs-community-edition-5s-patch-level-41に更新しました/

  - bug#14912 - インストーラーが存在しないドキュメントを参照します

  - OTRSを4から5へアップグレードするコードを追加しました

    READ UPGRADING.SUSE

  - ステップ1～4は、rpm pkgによって行われます

  - ステップ5～*END*は、DBバックアップの原因である手動で行う必要があります

5.0.40への更新

https://community.otrs.com/otrs-community-edition-5s-patch-level-40/

  - CVE-2020-1766 boo#1160663 OSA-2020-02：アップロードされたインライン画像の不適切な処理。アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、エージェントのブラウザが悪意のあるJavaScriptを実行させることが可能です。

  - CVE-2020-1765、OSA-2020-01：いくつかの画面でのFromフィールドのなりすまし。パラメーターの制御が不適切であるため、以下の画面のfromフィールドのなりすましが可能になります。AgentTicketCompose、AgentTicketForward、AgentTicketBounceおよびAgentTicketEmailOutbound

  - bin/otrs.Console.pl Maint：：Config：：Rebuildをアップグレード後に実行します

  - 5.0.39 https://community.otrs.com/otrs-community-edition-5s-patch-level-39を更新/

  - CVE-2019-18180 boo#1157001 OSA-2019-15：サービス拒否OTRSは、過度に長い拡張子を持つファイル名を提供することで、無限ループに陥る可能性があります。これは、PostMaster（メールでの送信）およびアップロード（ファイルのメールへの添付など）にも適用されます。

  - CVE-2019-18179 OSA-2019-14：情報漏洩。OTRSにエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。

への更新 5.0.38 https://community.otrs.com/release-notes-otrs-5s-patch-level-38/

  - CVE-2019-16375、 boo#1156431 OSA-2019-13：Stored XXS。適切な権限を持つエージェントまたは顧客ユーザーとしてOTRSにログインした攻撃者が、悪意のあるJavaScriptコードを記事の本文として含む、巧みに細工された文字列を作成できます。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。

- 5.0.37 https://community.otrs.com/release-notes-otrs-5s-patch-level-37に更新しました/

  - CVE-2019-13458、boo#1141432、OSA-2019-12に更新してください

    情報漏洩。適切な権限を持つエージェントユーザーとしてOTRSにログインした攻撃者が、テンプレート内のOTRSタグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。

  - CVE-2019-13457、 boo#1141431、 OSA-2019-11：

    情報漏洩。顧客ユーザーは、CustomerDisableCompanyTicketAccess設定がオンになっている場合でも、検索結果を使用して、（同じCustomerIDを持つ）「company」チケットから情報を漏洩できます。

  - CVE-2019-12746、boo#1141430、OSA-2019-10：

    セッションIDの漏洩。エージェントとしてOTRSにログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッションIDを漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。

5.0.36への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-36/

  - CVE-2019-12497、boo#1137614、OSA-2019-09：情報漏洩。顧客または外部フロントエンドでは、外部注記の名前やメールアドレスなど、エージェントの個人情報が漏洩する可能性があります。

  - CVE-2019-12248、boo#1137615、OSA-2019-08：外部画像リソースのロード。攻撃者が、悪意のあるメールをOTRSシステムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。

5.0.35への更新

https://community.otrs.com/release-notes-otrs-5s-patch-level-35/

  - CVE-2019-10067、boo#1139406、OSA-2019-05に更新してください

    Reflected XSSとStored XSS。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者がURLを操作し、OTRSのコンテキストでJavaScriptを実行する可能性があります。

  - CVE-2019-9892、boo#1139406、OSA-2019-04に更新してください

    XXE処理。適切な権限を持つエージェントユーザーとしてOTRSにログインしている攻撃者は、慎重に細工されたReport Statistics XMLのインポートを試みる可能性があり、その結果OTRSファイルシステムの任意のファイルが読み取られることになります。

  - OSA-2018-10、OSA-2019-01の欠如しているCVEを更新します

5.0.34への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-34/

  - CVE-2019-9752、boo#1122560、OSA-2019-01：Stored XSS。エージェントまたは顧客のユーザーとしてOTRSにログインしている攻撃者が、OTRSのコンテキストでJavaScriptを実行させるため、注意深く細工されたリソースをアップロードする可能性があります。

5.0.33への更新

- https://community.otrs.com/release-notes-otrs-5s-patch-level-33/

5.0.26への更新

-https://www.otrs.com/release-notes-otrs-5s-patch-level-26

- https://www.otrs.com/release-notes-otrsitsm-module-5s-patch-level-26/

  - 使われなくなったものを削除します

  - otrs-scheduler.service

  - otrs-scheduler.init

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。顧客または外部フロントエンドでは、エージェントの個人情報 (外部注記の名前やメールアドレスなど) が漏洩する可能性があります。(CVE-2019-12497)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
125836	DebianDLA-1816-1: otrs2のセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/6/12	2024/5/16	medium
140741	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-1475）	Nessus	SuSE Local Security Checks	2020/9/23	2022/5/13	high
180524	Debian DLA-3551-1 : otrs2 - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/9/6	2025/1/24	critical
136023	openSUSEセキュリティ更新プログラム：otrs（openSUSE-2020-551）	Nessus	SuSE Local Security Checks	2020/4/28	2022/5/16	high
254757	Linux Distros のパッチ未適用の脆弱性: CVE-2019-12497	Nessus	Misc.	2025/8/25	2025/8/25	medium

検出

プラグインの検索

medium

high

critical

high

medium