otrs2パッケージに、認証されていないアクセス、リモートコード実行、およびなりすましを引き起こす可能性がある複数の脆弱性が発見されました。

CVE-2020-1765

パラメーターの制御が不適切であるため、以下の画面のfromフィールドが偽装される可能性があります: AgentTicketCompose、AgentTicketForward、AgentTicketBounce。

CVE-2020-1766

アップロード画像の不適切な処理により、ごくまれな状況において、インラインjpgファイルとしてレンダリングされる、特別に細工されたSVGファイルから、悪意のあるJavaScriptをエージェントのブラウザーが実行するようにさせることが可能です。

CVE-2020-1767

下書きの非認証表示、テキストを完全に変更して、下書き所有者の名前で送信。顧客には、メッセージが別のエージェントによって送信されたことが認識されません。

Debian 8「Jessie」では、これらの問題はバージョン3.3.18-1+deb8u13で修正されました。

お使いのotrs2パッケージのアップグレードをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Debian 10 ホストには、dla-3551 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Object.prototype が汚染されているため、Drupal、Backdrop CMS、および他の製品で使用されている、3.4.0 より前の jQuery が jQuery.extend(true,{}, ...) を誤って処理します。サニタイズされていないソースオブジェクトに列挙可能な
    __proto__ property が含まれている場合、ネイティブの Object.prototype を拡張できる可能性があります。(CVE-2019-11358)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.7、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。攻撃者が、悪意のあるメールを OTRS システムに送信する可能性があります。ログインしているエージェントユーザーがそのメールを引用符で囲むと、電子メールがブラウザに外部画像リソースをロードさせる可能性があります。(CVE-2019-12248)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 6.0.x から 6.0.19、および Community Edition 5.0.x から 5.0.36 で問題が見つかりました。顧客または外部フロントエンドでは、エージェントの個人情報 (外部注記の名前やメールアドレスなど) が漏洩する可能性があります。(CVE-2019-12497)

  - Open Ticket Request System (OTRS) Community Edition 5.0.x から 5.0.36、および 6.0.x から 6.0.19 で問題が見つかりました。エージェントとして OTRS にログインしたユーザーが、埋め込まれたチケット記事のリンクを第三者と共有することで、知らないうちにセッション ID を漏洩してしまう可能性があります。この識別子は、エージェントユーザーになりすますために悪用される可能性があります。(CVE-2019-12746)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.8、Community Edition 5.0.x から 5.0.36、および 6.0.x から 6.0.19 で問題が見つかりました。適切な権限を持つエージェントユーザーとして OTRS にログインした攻撃者が、テンプレート内の OTRS 通知タグを悪用して、ハッシュされたユーザーパスワードを漏洩させる可能性があります。(CVE-2019-13458)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.11、Community Edition 5.0.x から 5.0.37、および 6.0.x から 6.0.22 で問題が見つかりました。適切な権限を持つエージェントまたは顧客ユーザーとしてログインした攻撃者が、悪意のある JavaScript コードを記事の本文として含む、巧みに細工された文字列を作成する可能性があります。この悪意のあるコードは、エージェントが元の記事に対する回答を作成するときに実行されます。
    (CVE-2019-16375)

  - Open Ticket Request System (OTRS) 7.0.x から 7.0.12、Community Edition 5.0.x から 5.0.38、および 6.0.x から 6.0.23 で問題が見つかりました。OTRS にエージェントとしてログインしている攻撃者が、その攻撃者には権限が付与されていないキュー内にある、他のエージェントに割り当てられているチケットを一覧表示する可能性があります。(CVE-2019-18179)

  - ((OTRS)) Community Edition および OTRS の PostMaster (電子メールの送信) またはファイルのアップロード (メールの添付など) で、過度に長い拡張子を持つファイル名が適切にチェックされません。この問題の影響を受ける対象: OTRS AG: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.38、および 6.0.x のバージョン 6.0.23 より前のバージョン。OTRS AG: OTRS 7.0.x のバージョン 7.0.12 より前のバージョン。(CVE-2019-18180)

  - 1.2 以降 3.5.0 より前のバージョンの jQuery では、信頼できないソースからの HTML を jQuery の DOM 操作メソッドの 1 つ (.html()、.append() など) に渡すと、HTML がサニタイズされた後でも、信頼できないコードが実行されることがあります。jQuery 3.5.0でこの問題に対するパッチが適用されています。(CVE-2020-11022)

  - 1.0.3以降 3.5.0より前のバージョンの jQuery では、信頼できないソースからの <option>要素を含む HTML を jQuery の DOM 操作メソッドの 1 つ (.html()、.append() など) に渡すと、HTML がサニタイズされた後でも、信頼できないコードが実行されることがあります。jQuery 3.5.0でこの問題に対するパッチが適用されています。
    (CVE-2020-11023)

  - パラメーターの制御が不適切であるため、
    AgentTicketCompose、AgentTicketForward、AgentTicketBounce および AgentTicketEmailOutbound 画面のスプーフィングが可能です。この問題の影響を受ける対象: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.39、および 6.0.x のバージョン 6.0.24 より前のバージョン。OTRS 7.0.x のバージョン 7.0.13 より前のバージョン。(CVE-2020-1765)

  - アップロードされた画像の処理が不適切なため、ごくまれな可能性の低い状況で、インライン jpg ファイルとしてレンダリングされる、特別に細工された SVG ファイルから、エージェントのブラウザが悪意のある javascript を実行させることが可能です。この問題の影響を受ける対象: ((OTRS)) Community Edition 5.0.x のバージョン 5.0.39、および 6.0.x のバージョン 6.0.24 以前のバージョン。OTRS 7.0.x のバージョン 7.0.13 以前のバージョン。(CVE-2020-1766)

  - エージェント A は顧客返信用などの下書きを保存できます。その後、エージェント B は下書きを開き、テキストを完全に変更して、エージェント A の名前で送信できます。顧客には、メッセージが別のエージェントによって送信されたことは表示されません。この問題の影響を受ける対象: ((OTRS)) Community Edition 6.0.x のバージョン 6.0.24 以前のバージョン。OTRS 7.0.x のバージョン 7.0.13 以前のバージョン。(CVE-2020-1767)

  - ログイン画面 (エージェントおよび顧客のインターフェース内) では、ユーザー名フィールドとパスワードフィールドでオートコンプリートが使用されるため、セキュリティ問題と見なされる場合があります。この問題の影響を受ける対象: ((OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1769)

  - サポートバンドルで生成されたファイルに、漏洩が望ましくない機密情報が含まれる可能性があります。
    この問題の影響を受ける対象: ((OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。
    OTRS:7.0.15 以前のバージョン。(CVE-2020-1770)

  - 攻撃者が、悪意のあるコンテンツ (JavaScript) を含む顧客のアドレス帳へのリンクを含む記事を細工する可能性があります。エージェントがリンクを開くと、パラメーターのエンコーディングが欠落しているために、JavaScript コードが実行されます。この問題の影響を受ける対象: ((OTRS)) Community Edition:6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1771)

  - トークンの値にワイルドカードを使用することで、パスワード失効リクエストを細工することが可能です。これにより、攻撃者は、すでに新しいパスワードをリクエストしているユーザーが生成した、有効なトークンを取得できます。この問題の影響を受ける対象:
    ((OTRS)) Community Edition 5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS:7.0.15 以前のバージョン。(CVE-2020-1772)

  - 認証できるようにすることによってまたは OSA-2020-09 を悪用することによって、セッション ID またはパスワードリセットトークンを生成できる攻撃者が、他のユーザーのセッション ID、パスワードリセットトークン、および自動生成パスワードを推測できる可能性があります。この問題の影響を受ける対象: (OTRS)) Community Edition:5.0.41 以前のバージョン、6.0.26 以前のバージョン。OTRS: 7.0.15 以前のバージョン。(CVE-2020-1773)

  - ユーザーが PGP または S/MIME 鍵/証明書をダウンロードすると、エクスポートされたファイルに秘密鍵および公開鍵と同じ名前が付けられます。したがって、これらを組み合わせて、公開鍵ではなく秘密鍵をサードパーティに送信することが可能です。この問題の影響を受ける対象: (OTRS)) Community Edition:5.0.42 以前のバージョン、6.0.27 以前のバージョン。
    OTRS:7.0.16 以前のバージョン。(CVE-2020-1774)

  - エージェントユーザーの名前が変更されたり、無効に設定されたりすると、そのユーザーに属するセッションはアクティブに保たれます。エージェントが無効な場合、セッションを使用してチケットデータにアクセスすることはできません。この問題の影響を受ける対象: (OTRS)) Community Edition:6.0.28 以前のバージョン。OTRS:7.0.18 以前のバージョン、8.0.4 以前のバージョン。(CVE-2020-1776)

  - jQuery Validation Plugin は、既存のフォームに対するドロップイン検証を提供します。npm パッケージ jquery-validation として公開されています。バージョン 1.19.3 より前の jquery-validation には、ReDoS (正規表現サービス拒否) に対して脆弱な正規表現が 1 つ以上含まれています。これは 1.19.3で修正されています。
    (CVE-2021-21252)

  - メールの本文に特別に設計された URL が含まれていると、DoS 攻撃が実行される可能性があります。CPU 使用率が高くなり、サービスの質が低下したり、極端な場合にはシステムが停止したりする可能性があります。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.26 より前のバージョン、および 8.0.x のバージョン 8.0.13 より前のバージョン。(CVE-2021-21439)

  - 格納フォルダーが非表示でない場合、S/MIME および PGP の秘密鍵が生成されたサポートバンドルに含められます。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.27 より前のバージョン、および 8.0.x のバージョン 8.0.14 より前のバージョン。(CVE-2021-21440)

  - チケット概要画面に XSS の脆弱性があります。概要画面にメールを表示させて、さまざまな情報を収集することが可能です。特別に細工された電子メールをシステムに送信することで攻撃を実行でき、ユーザーによる操作は必要ありません。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition 6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS 7.0.x のバージョン 7.0.26 以前のバージョン。(CVE-2021-21441)

  - エージェントは、一括アクション画面で、必要な権限がなくても顧客ユーザーのメールを一覧表示できます。この問題の影響を受ける対象: OTRS AG ((OTRS)) Community Edition:6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS:
    7.0.27 より前の 7.0.x バージョン。(CVE-2021-21443)

  - エージェントが、必要な権限がなくてもカレンダーに予定を一覧表示させることができます。この問題の影響を受ける対象:
    OTRS AG ((OTRS)) Community Edition:6.0.x のバージョン 6.0.1 以降のバージョン。OTRS AG OTRS:7.0.27 より前の 7.0.x バージョン。(CVE-2021-36091)

  - OTRS システム構成の特別に細工された文字列を使用して、任意のシステムコマンドを実行できる可能性があります。
    (CVE-2021-36100)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「altField」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「altField」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「altField」オプションの値を受け入れないことです。
    (CVE-2021-41182)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0より前では、信頼されていないソースから Datepicker ウィジェットの「*Text」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。さまざまな「* Text」オプションに渡される値が、HTML ではなく常に純粋なテキストとして処理されるようになりました。回避策は、信頼できないソースからの「*Text」オプションの値を受け入れないことです。(CVE-2021-41183)

  - jQuery-UI は、公式の jQuery ユーザーインターフェースライブラリです。バージョン 1.13.0 以前では、信頼されていないソースから「.position()」util の「of」オプションの値を受け入れると、信頼されていないコードを実行する可能性があります。この問題は、jQuery UI 1.13.0 で修正されています。「of」オプションに渡される文字列値は、CSS セレクターとして扱われるようになりました。回避策は、信頼できないソースからの「of」オプションの値を受け入れないことです。(CVE-2021-41184)

  - OTRS AG OTRS、OTRS AG ((OTRS)) Community Edition での不適切な入力検証の脆弱性により、TicketSearch Webservice による SQL インジェクションが可能になります。この問題の影響を受ける対象: OTRS:7.0.40 パッチ 1 より前の 7.0.1 以降、8.0.28 パッチ 1 より前の 8.0.1 以降、((OTRS)) Community Edition:6.0.1 から 6.0.34 以降。(CVE-2022-4427)

  - OTRS ジェネリックインターフェースモジュールの TicketCreate または TicketUpdate 操作で添付ファイルの ContentType パラメーターの入力が適切に検証されないという脆弱性のため、認証された攻撃者が添付ファイルの ContentType ヘッダーに対してホストヘッダーインジェクションを実行する可能性があります。この問題の影響を受ける対象: OTRS:
    7.0.45 より前の 7.0.X 以降、8.0.35 より前の 8.0.X 以降、((OTRS)) Community Edition:6.0.1 から 6.0.34 以降。
    (CVE-2023-38060)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - エージェント A は顧客返信用などの下書きを保存できます。その後、エージェント B は下書きを開き、テキストを完全に変更して、エージェント A の名前で送信できます。顧客には、メッセージが別のエージェントによって送信されたことは表示されません。この問題は次のバージョンに影響を与えますOTRSCommunity Edition 6.0.x バージョン 6.0.24 および以前のバージョン。OTRS 7.0.x のバージョン 7.0.13 以前のバージョン。(CVE-2020-1767)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
133318	Debian DLA-2079-1 : otrs2 セキュリティ更新	Nessus	Debian Local Security Checks	2020/1/30	2024/3/28	medium
180524	Debian DLA-3551-1 : otrs2 - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/9/6	2025/1/24	critical
257492	Linux Distros のパッチ未適用の脆弱性: CVE-2020-1767	Nessus	Misc.	2025/8/27	2025/8/27	medium

検出

プラグインの検索

medium

critical

medium